GitHub

Grafana 採用可插拔的驗證管道：每種憑證類型均實作為驗證「用戶端」，而所有用戶端都會產生相同的內部 Identity。授權執行前，系統會為該身份加入 Grafana 用戶、組織、角色、團隊及權限資料。

我檢查了目前的 main 分支。

1. 請求驗證

每個 HTTP 請求都會通過 ContextHandler，並呼叫：

authenticator.Authenticate(ctx, &authn.Request{HTTPRequest: req})

如驗證成功，產生的身份會成為請求的 SignedInUser，並附加至 Go context。如驗證失敗，錯誤會保留，供後續中介軟件決定回傳 401、重新導向至登入頁面、Token 輪替等。之後亦會移除敏感的驗證標頭。請參閱 contexthandler.go。