GitHub

Grafana 使用可插拔的驗證管線：每種憑證類型都實作為驗證「用戶端」，且所有用戶端都會產生相同的內部 Identity。執行授權前，該身分會再加入 Grafana 使用者、組織、角色、團隊及權限資訊。

我檢查了目前的 main 分支。

1. 請求驗證

每個 HTTP 請求都會經過 ContextHandler，由其呼叫：

authenticator.Authenticate(ctx, &authn.Request{HTTPRequest: req})

若驗證成功，產生的身分會成為該請求的 SignedInUser，並附加至 Go 上下文。若失敗，錯誤會保留，供後續中介軟體決定回傳 401、重新導向登入頁面、輪替 Token 等。之後也會移除敏感的驗證標頭。請參閱 contexthandler.go。