【GoLang 那点事】gRPC 认证的多种方式实践(五)

gRPC安全认证介绍

  • gRPC被设计成可以利用插件的形式支持多种授权认证机制,你可以采用自己喜欢的,简单的,认为方便的一种方式,选择权在用户手里
  • 支持的授权认证机制如下
    1. SSL/TLS认证
    2. 自定义Token认证
  • SSL/TLS的概念可以参考下面的文章
  • https://www.techug.com/post/https-ssl-tls....

SSL/TLS认证方式

  • 首先通过openssl生成证书和私钥,命令如下
//生成私钥
openssl genrsa -out server.key 2048

//生成证书
openssl req -new -x509 -sha256 -key server.key  -out server.crt -days 36500

//按照提示输入如下信息
国家名称
Country Name (2 letter code) [AU]:
//省名称
State or Province Name (full name) [Some-State]:
//城市名称
Locality Name (eg, city) []:
//理解为公司名称
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
//理解为你所在部门的名称
Organizational Unit Name (eg, section) []:
//你的服务器名称(网站名称)
Common Name (e.g. server FQDN or YOUR name) []:
//联系邮箱
Email Address []:
  • 服务端如下
func StartServer() {

   lis, err := net.Listen("tcp", "127.0.0.1:8090")
   if err != nil {
      log.Fatalf("failed to listen: %v", err)
   }
   // TLS认证
   // 两个入参分别是 (certFile, keyFile string)
   // 自签名证书文件和私钥文件
   creds, err := credentials.NewServerTLSFromFile("cert", "key")
   //创建grpcServer传入证书 
   gRpcServer := grpc.NewServer(grpc.Creds(creds))
   pb.RegisterHelloServiceServer(gRpcServer, &HelloServiceServer{})
   gRpcServer.Serve(lis)
}
  • 客户端如下

func StartClient() {
   // TLS认证
   creds, err := credentials.NewClientTLSFromFile("cert", "ServerName")
   //连接服务器 
   conn, err := grpc.Dial("127.0.0.1:8090",grpc.WithTransportCredentials(creds) )
   if err != nil{
      fmt.Println(err)
      return
   }
   c := pb.NewHelloServiceClient(conn)
   //
   ctx, cancel := context.WithTimeout(context.Background(), time.Second)
   defer cancel()
   r, err := c.HelloWorldClientAndServerStream(ctx, grpc.EmptyCallOption{})
   if err != nil {
        log.Fatalf("%v", err)
        return
   }
   r.Send(&pb.HelloRequest{Request: "my is golang gRpc client "})
   r.CloseSend()
}
  • 如上就开启了gRPC的TLS认证

Token认证

  • 我们先看一个gRPC提供我们的一个接口,这个接口终有两个方法,接口位于credentials
    包下,这个接口需要客户端来实现
  • 第一个方法作用是获取元数据信息,也就是客户端提供的key,value对,context用于控制超时和取消,uri是请求入口处的uri
  • 第二个方法的作用是否需要基于 TLS 认证进行安全传输是,如果返回值是true,则必须加上TLS验证,返回值是false则不用
type PerRPCCredentials interface {
    GetRequestMetadata(ctx context.Context, uri ...string) 
        (map[string]string, error)
    RequireTransportSecurity() bool
}
  • 客户端端实现接口,代码如下
//自定义token认证
type CustomerTokenAuth struct {
}
//获取元数据
func (c CustomerTokenAuth) GetRequestMetadata(ctx context.Context, 
   uri...string) (map[string]string, error) {

   return map[string]string{
      "appId":  "master",
      "appkey": "1aqfs5g456j",
   }, nil
}
//是否开启传输安全 TLS
func (c CustomerTokenAuth) RequireTransportSecurity() bool {
   return false
}
  • 客户端按照如下方式使用

var opts []grpc.DialOption
//grpc.WithInsecure()这个是一定要添加的,代表开启安全的选项
opts =append(opts,grpc.WithInsecure())
//添加自定义token验证
opts = append(opts,grpc.WithPerRPCCredentials(new(CustomerTokenAuth)))
//连接服务端
conn, err := grpc.Dial("127.0.0.1:8090",opts...)
  • 服务端按照如下方式校验,当然我们也可以使用拦截器的形式对每个方法进行拦截,而不是像如下在每个方法中硬编码是的。

type HelloServiceServer struct {
}
//这是服务端实现的一个方法
func (*HelloServiceServer2) HelloWorld(ctx context.Context, 
   req *pb.HelloRequest) (*pb.HelloResponse, error) {
   //获取元数据信息
   md,ok := metadata.FromIncomingContext(ctx)
   if !ok {
      return nil,errors.New("未传输token")
   }
   var (
        appId  string
        appKey string
   )
   if val, ok := md["appId"]; ok {
        appid = val[0]
   }
   if val, ok := md["appKey"]; ok {
        appkey = val[0]
   }
   //进行校验的信息是否正确
   if appid != "123" || appkey != "456" {
        return nil, errors.New("token传输不正确")
   }
   return &pb.HelloResponse{Response: "hello my is gRpcServer"}, nil
}

总结

  • gRPC将各种认证方式浓缩统一到一个凭证(credentials)上,可以单独使用一种凭证,比如只使用TLS凭证或者只使用自定义凭证,也可以多种凭证组合,gRPC提供统一的API验证机制,使研发人员使用方便,这也是gRPC设计的巧妙之处

欢迎大家关注微信公众号:“golang那点事”,更多精彩期待你的到来

图片

那小子阿伟

讨论数量: 0
(= ̄ω ̄=)··· 暂无内容!

请勿发布不友善或者负能量的内容。与人为善,比聪明更重要!