1

（完全改写 - 因为没有答案）： 我正在开发一个带有用户身份验证和 RESTXQ 的存在数据库应用程序。我的用户通过登录模块中的 login:set-user 功能登录。这是控制器的一个片段：

import module namespace login="http://exist-db.org/xquery/login" at "resource:org/exist/xquery/modules/persistentlogin/login.xql";

declare variable $local:login_domain := "org.exist-db.superApp";
declare variable $local:user := $local:login_domain || '.user';

let $logout := request:get-parameter("logout", ())
let $set-user := login:set-user($local:login_domain, (), false())

这工作得很好。如果我在 app:function() 中的任何位置调用例如 xmldb:get-current-user() 我会得到当前登录的用户名。

我还有一个 RESTXQ 模块，其中有几个函数可以通过 AJAX 请求通过 URL 动态调用。其中一些操作（删除数据中的 xml 元素，添加新集合...）相当关键。我不希望客人（或具有错误权限的用户）能够只调用这些 RESTXQ URL 来操作数据 - 所以 RESTXQ 必须是安全的，它应该仔细检查：当前登录的用户是否允许修改特定资源/收藏？

如果我在任何 RESTXQ 函数中调用例如 xmldb:get-current-user()，我总是得到“guest”，所有安全管理器 (sm) 函数也表明在 RESTXQ 中不知道当前用户登录。仅当我在每个 RESTXQ 函数中执行 xmldb:login("/db","username","password") 之类的操作时，RESTXQ 似乎知道有人已登录，但用户名和密码不应不断地通过来回传递URL - 但是如果不传入这些数据，RESTXQ 函数似乎并不知道它（对吗？）。

那么我如何确保，RESTXQ 只允许经过身份验证的用户更改数据（用户不必多次进行身份验证，也不必在每次请求时将身份验证数据传递给 RESTXQ）？

示例用例：我想要一个 RESTXQ 函数，它获取搜索字符串 ($text) 和集合路径 ($path) 作为输入，现在它检查 $path 中的所有 xml 文件：如果当前登录-用户（必须经过身份验证！）对文件具有写入权限，删除所有包含 $text 的节点并向用户返回一些 JSON 响应...

我有多个这样的功能，（移动，删除和添加数据，添加新集合......），它们工作得很好，除了粗体部分：我不明白这个如果在。有什么想法吗？

PS：eXist 邮件列表上的这个主题 提出了同样的问题。这里@adamretter 建议限制 RESTXQ 模块文件本身，因此在调用函数时会提示用户（重新）进行身份验证 - 即使他们已经使用了持久登录。这是我不喜欢的：

  1. 我不希望我的用户必须多次登录（这是让事情尽可能动态的想法 - 例如通过使用 RESTXQ）
  2. 提示登录（用于执行 RESTXQ）和之前通过登录模块的登录（持久）现在可以不同了！
  3. 即使用户在应用程序中注销，RESTXQ 仍然被授予访问权限，因为提示的身份验证对注销一无所知。如果一个新用户登录（不是在提示中，而是通过登录模块），她仍然可以访问 RESTXQ，因为这不是重新提示（而且我不知道如何“注销”这个提示，看似平行的第二个登录）。
  4. 我可以通过这种方式限制整个 RESTXQ 模块，但我仍然不知道如何在 RESTXQ 函数中询问：“当前用户对资源 A、B、C 有什么访问权限...
4

2 回答 2

1

RESTXQ API 是无状态的。因此，您需要对每个请求进行身份验证。这是故意的，并且是按设计完成的，以便每个 RESTXQ 调用都可以有效地独立工作。

这并不罕见，因为其他 API（例如 Amazon 的 S3）也要求在每个请求上提供此类身份验证。

您的用户如何向 RESTXQ 进行身份验证以及如何提示他们输入请求凭据（并可能重用这些凭据）超出了 RESTXQ API 的范围，而是被视为您需要在自己的应用程序中解决的客户端问题。

于 2019-08-11T12:13:24.980 回答
1

希望这对其他人有帮助：

发出 AJAX 请求时，添加一个标头：

[...]
headers: {'Authorization': 'Basic ' + btoa(username + ':' + password)},
[...]

这将使用给定的凭据（如果正确）登录用户。在您的 RESTXQ 函数中，您可以通过以下方式访问用户的详细信息sm:id()：

declare namespace sm = "http://exist-db.org/xquery/securitymanager";
[...]
let $username := xs:string(sm:id()//sm:real//sm:username)

您应该使用下面的信息sm:real作为setuid或setgid可能掩盖真实值。

请注意，不会存储登录信息，因此您需要将它们与您发出的每个 AJAX 请求一起发送。

于 2018-08-21T14:17:22.633 回答