CN112417403B - 一种基于GitLab API的系统自动化认证和授权处理方法 - Google Patents

Abstract

本发明提出了一种基于GitLab API的系统自动化认证和授权处理方法，将本地账户与GitLab系统账户进行映射，采用GitLab系统的统一用户信息数据，完成用户信息及操作数据的同步；获取用户通过登陆模块输入的账户信息，对登陆请求进行处理，包括认证请求过滤和身份构建，生成对应用户的Token；模拟GitLab登陆获取用户认证信息，存储于Cookies中，结合对应用户的Token，进行GitLab对应API的访问和操作，实现GitLab全部功能操作和扩展。本发明一方面解决了定制扩展的功能API无认证信息的问题；另一方面，减少了人工参与的频次，认证和模拟处理过程全部为自动化，提高了处理效率，降低了操作风险。

Description

一种基于GitLab API的系统自动化认证和授权处理方法

技术领域

本发明涉及软件开发与应用领域，具体涉及一种基于GitLab API的系统自动化认证和授权处理方法。

背景技术

随着软件开发技术和手段的提升，80％的互联网公司趋向于敏捷的开发管理模式，而对应的DevOPS系统或平台应运而生，大多DevOPS平台采用基于第三方开放平台的API进行集成整合和定制改造完成，而GitLab作为CI/CD的最佳实践工具之一，具备较为完善的API，成为各大公司进行DevOPS实践以及平台研发的首选。

在进行第三方的开放平台集成或研发时，一般需要解决两个问题：框架集成和权限认证问题。系统框架作为DevOPS平台进行平台集成的硬性条件，是平台进行深度定制和改造的基础。在不改变原有框架的条件下，大多采用基于API的方式进行集成和改造，完成数据资源的统一封装，构建完整的生态系统。然而，在API的集成改造和开发封装过程中，API的资源访问限制成为了首要问题， OAuth常作为用户与第三方应用、开放平台之间相互信任以及通信的重要机制，并为客户端提供了一种代表资源访问拥有者访问受保护资源的方法，通常通过构造Token来完成，而Token作为系统资源访问的唯一凭证，从而完成API功能的访问授权。再者，有些平台扩展功能或者定制功能，不能通过API来完成且需要用户信息认证，此时需要采用另外一种方法：模拟登陆。模拟登陆一般作为受限网络资源获取的一种手段，通过利用程序模拟用户登陆行为来访问服务资源的过程。通常包括两个过程：①分析获取登录目标系统所需要的参数，主要为请求头和Body与浏览器进行交互的参数。②程序模拟系统登录行为，存储授权凭证。然而在基于GitLab API进行平台搭建时，大多采用的是基于OAuth的认证，其认证过程复杂且需要人工干预，才能保证正常认证，难以形成一套完整的自动化的认证体系。再者，GitLab本身没有提供基于用户Session的认证API，在基于该平台进行功能定制和扩展时存在一定的资源认证问题。

发明内容

本发明的目的在于提出一种基于GitLab API的系统自动化认证和授权处理方法，解决传统基于oAuth认证需要进行较多配置且人工干预较多的问题，以及基于开放平台API进行功能开发和扩展不能满足平台定制需求的问题。

实现本发明目的的技术解决方案为：一种基于GitLab API的系统自动化认证和授权处理方法，基于Security认证框架进行用户的登陆认证和处理，结合模拟登陆的方式进行认证权限的获取，具体步骤如下：

步骤1，将本地账户与GitLab系统账户进行映射，采用GitLab系统的统一用户信息数据，完成用户信息及操作数据的同步；

步骤2，获取用户通过登陆模块输入的账户信息，对登陆请求进行处理，包括认证请求过滤和身份构建，生成对应用户的Token；

步骤3，模拟GitLab登陆获取用户认证信息，存储于Cookies中，结合对应用户的Token，进行GitLab对应API的访问和操作，实现GitLab全部功能操作和扩展。

进一步地，步骤1中，将本地账户与GitLab系统账户进行映射，采用GitLab 系统的统一用户信息数据，完成用户信息及操作数据的同步，具体方法为：

(1)建立用户映射表

将GitLab用户信息核心字段保存于本地库表中，用于用户登录认证和信息同步，表结构如下：

表1用户映射表

其中username为系统合法用户名，并与GitLab用户登录名称一致，password 为登录系统和获取GitLab Token的秘钥，而role为用户登录时的角色，其与系统权限绑定，当持有合法的Token和相应的角色，并以此作为凭证访问GitLab系统资源；

(2)用户信息同步

当用户信息发生变化时，通过调用GitLab API用户接口和本地接口进行 GitLab用户信息和本地用户信息的同步更新，保证两者数据的一致性。

进一步地，步骤2中，获取用户通过登陆模块输入的账户信息，对登陆请求进行处理，包括认证请求过滤和身份构建，生成对应用户的Token，具体方法为：

(1)认证请求过滤

采用Spring Security框架进行用户认证和授权，通过设置登陆及访问拦截器来控制权限的访问，进而保证API访问的安全，主要通过以下过滤器进行请求资源认证：

1)UsernamepasswordAuthenticationFilter：主要负责表单的认证；

2)BasicAuthenticationFilte：主要负责SpringSecurity默认的basic认证；

3)ExceptionTranslationFilter：基于抛出的错误跳转到对应的页面；

4)FilterSecurityInterceptor：是过滤器类，根据配置确定是否可以访问后台接口；

(2)身份构建

为保证系统平台功能操作的安全性，不同的用户及角色具备不同的GitLab 访问权限，通过系统用户名和密码访问GitLab API模拟生成对应用户的Token，用户基于该Token进行GitLab其他功能API的访问，即使用GitLab原生的权限系统进行操作。

进一步地，步骤3中，模拟GitLab登陆获取用户认证信息，存储于Cookies 中，具体方法为：通过浏览器进行网页访问时，构造登录所需数据，并携带伪造的数据发送登录请求，经过服务器验证成功后，返回该Session ID，并把Session 的ID保存在客户机的Cookie中，每次请求都带上Cookie，实现会话状态的保持，进而实现用户权限的认证和对应资源的访问。

进一步地，在用户登出时，清除Cookies和认证信息。

一种基于GitLab API的系统自动化认证和授权处理系统，基于所述的方法进行基于GitLab API的系统自动化认证和授权处理。

一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述的方法进行基于 GitLab API的系统自动化认证和授权处理。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现所述的方法进行基于GitLab API的系统自动化认证和授权处理。

本发明与现有技术相比，其显著优点为：

1)解决了开放平台(GitLab)基于API进行功能开发和定制时需要进行用户Session认证的问题，通过模拟认证获取对应用户的操作权限，进而进行实际功能API操作。

2)减少了开放平台(GitLab)在在实际开发操作中平台或接口认证过程的步骤，以及用户干预的频次，一切都在登陆过程完成信息认证，自动化处理，提高了安全性，降低了研发成本。

3)用户无需关注系统登陆认证和授权过程中的参数传递或数据加密，一切有自动化认证处理框架完成，解决了Cookie不能跨域共享及现有模拟登录方法导致系统不稳定的问题。

附图说明

图1是本方法的系统用户映射图；

图2是本方法的模拟认证过程略图；

图3是本方法的自动登录处理图；

图4是本方法的总体流程图。

具体实施方式

为了使本申请的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请进行进一步详细说明。应当理解，此处描述的具体实施例仅仅用以解释本申请，并不用于限定本申请。

本发明一种基于GitLab API的系统自动化认证和授权处理方法，基于Security认证框架进行用户的登陆认证和处理，结合模拟登陆的方式进行认证权限的获取。首先完成系统/平台用户与GitLab服务用户系统的映射；然后用户通过登陆模块输入账户信息，将请求发送至认证处理服务器，服务器对收到的登陆请求进行处理，包括认证请求过滤和身份构建，模拟GitLab登陆获取其认证信息，存储于 Cookies中；同时，结合用户信息构建用户Impersonation Token，进行GitLab对应API的访问和操作，实现GitLab全部功能操作和扩展。用户登出时，清除Cookies 和认证信息，保证用户安全性。

1.系统用户映射

基于开放平台API进行平台开发或功能扩展时，为保证获取开放平台数据资源和相关信息的正确性，需将本地账户与GitLab系统账户进行映射，采用GitLab 系统的统一用户信息数据，完成用户信息及操作数据的同步，如图1所示，包括以下两步：

(1)建立用户映射表

将GitLab用户信息核心字段保存于本地库表中，用于用户登录认证和信息同步，表结构如下：

其中username为系统合法用户名，并与GitLab用户登录名称一致，password 为登录系统和获取GitLab Token的秘钥，而role为用户登录时的角色，其与系统权限绑定，当持有合法的Token和相应的角色，并以此作为凭证访问GitLab系统资源。

(2)用户信息同步

当用户信息发生变化时，通过调用GitLab API用户接口和本地接口进行GitLab用户信息和本地用户信息的同步更新，保证两者数据的一致性，从而可以保证系统的登陆认证安全。

2.安全认证授权机制

由于基于GitLab API开发的系统或平台，需要对Web资源进行保护，一般采用Filter机制，基于API的调用方法的保护一般采用AOP(Aspect Oriented Programming)。本发明采用Spring Security框架进行用户认证和授权，通过设置登陆及访问拦截器来控制权限的访问，进而保证API访问的安全。

主要通过以下过滤器进行请求资源认证：

1)UsernamepasswordAuthenticationFilter：主要负责表单的认证。

2)BasicAuthenticationFilte：主要负责SpringSecurity默认的basic认证。

3)ExceptionTranslationFilter：基于抛出的错误跳转到对应的页面。

4)FilterSecurityInterceptor：是过滤器类，根据配置确定是否可以访问后台接口。

为保证系统平台功能操作的安全性，不同的用户及角色具备不同的GitLab 访问权限，通过系统用户名和密码访问GitLab API模拟生成对应用户的Token，用户基于该Token进行GitLab其他功能API的访问，即使用GitLab原生的权限系统进行操作，保证了平台通过API操作GitLab的安全性。

具体过程如图2所示：首先用户仅需在浏览器中输入正确的用户名和密码，对应的认证服务器会查询用户信息和角色，生成访问操作GitLab API的模拟Token，以及通过模拟登录GitLab服务器的方法获取GitLab认证信息，结合Token和 Cookie可以完成GitLab所有功能的操作，实现平台的功能扩展和定制。

3.模拟登录过程

客户端访问基于GitLab API开发的平台或系统服务，服务器通过Session对象记录会话，服务器可以指定一个唯一的session ID作为cookie来代表每个客户端，用来识别这个客户端接下来的请求。

通过浏览器进行网页访问时，构造登录所需数据，并携带伪造的数据发送登录请求(如Token或标识、User-Agent/HOST/Referer等数据，向登录地址POST数据)，经过服务器验证成功后，返回该Session ID，并把Session的ID保存在客户机的Cookie中。每次请求都带上Cookie，就可以实现会话状态的保持，进而实现用户权限的认证和对应资源的访问。用户登出时，清除Cookies和认证信息，保证用户安全性。

具体过程如图3所示：首先用户输入登陆账户信息，构建GitLab用户模拟数据，构造请求头和POST请求表单，发送登陆请求，认处理服务器，处理登录请求模拟Gitlab登陆过程，获取Gitlab权限认证信息_gitlab_session将其存储于 Cookie中进行API功能的操作和权限认证。

本发明还提出一种基于GitLab API的系统自动化认证和授权处理系统，基于所述的方法进行基于GitLab API的系统自动化认证和授权处理。

一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述的方法进行基于 GitLab API的系统自动化认证和授权处理。

一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现所述的方法进行基于GitLab API的系统自动化认证和授权处理。

实施例

为了验证本发明方案的有效性，进行如下仿真实验。

(1)用户填写登陆信息(用户名和密码)，加密传输至服务端进行基本信息的验证。

(2)通过基本信息的验证后，进行请求信息初始化，构造请求头Header(包括：Referer/Host/User-Agent等信息)，加密发送登录认证请求。

(3)通过预先定义的过滤器进行URL的拦截处理，满足规则的进行下一步，不满足的返回步骤(1)。

(4)经过认证服务器进行请求资源认证处理，自动验证并获取用户角色信息，并生成对应用户的Impersonation Token，存储至Session中，同时更新本地用户库表。

(5)构建请求体(包括：login、password、authenticity_token、utf8)，并调用GitLab的登陆接口(http://ip/users/sing_in)，进行模拟登陆认证，获取当前用户的访问GitLab的experimentation_subject_id和_gitlab_session值并保存至 Cookie中。

(6)结合模拟Token和模拟登陆认证获取的Cookie，从而完成平台的自动化认证、资源访问以及扩展功能的定制开发。

本发明通过模拟登陆的方式获取用户认证信息，结合模拟Token进行基本操作的认证授权。一方面解决定制扩展的功能API无认证信息的问题，导致不能正常使用；另一方面，可以减少人工参与的频次，认证和模拟处理过程全部为自动化，提高处理效率，降低人为操作的风险。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (8)

1.一种基于GitLab API的系统自动化认证和授权处理方法，其特征在于，基于Security认证框架进行用户的登陆认证和处理，结合模拟登陆的方式进行认证权限的获取，具体步骤如下：

步骤1，将本地账户与GitLab系统账户进行映射，采用GitLab系统的统一用户信息数据，完成用户信息及操作数据的同步；

步骤2，获取用户通过登陆模块输入的账户信息，对登陆请求进行处理，包括认证请求过滤和身份构建，生成对应用户的Token；

步骤3，模拟GitLab登陆获取用户认证信息，存储于Cookies中，结合对应用户的Token，进行GitLab对应API的访问和操作，实现GitLab全部功能操作和扩展。

2.根据权利要求1所述的基于GitLab API的系统自动化认证和授权处理方法，其特征在于，步骤1中，将本地账户与GitLab系统账户进行映射，采用GitLab系统的统一用户信息数据，完成用户信息及操作数据的同步，具体方法为：

(1)建立用户映射表

将GitLab用户信息核心字段保存于本地库表中，用于用户登录认证和信息同步，表结构如下：

表1用户映射表

其中username为系统合法用户名，并与GitLab用户登录名称一致，password为登录系统和获取GitLab Token的秘钥，而role为用户登录时的角色，其与系统权限绑定，当持有合法的Token和相应的角色，并以此作为凭证访问GitLab系统资源；

(2)用户信息同步

当用户信息发生变化时，通过调用GitLab API用户接口和本地接口进行GitLab用户信息和本地用户信息的同步更新，保证两者数据的一致性。

3.根据权利要求1所述的基于GitLab API的系统自动化认证和授权处理方法，其特征在于，步骤2中，获取用户通过登陆模块输入的账户信息，对登陆请求进行处理，包括认证请求过滤和身份构建，生成对应用户的Token，具体方法为：

(1)认证请求过滤

采用Spring Security框架进行用户认证和授权，通过设置登陆及访问拦截器来控制权限的访问，进而保证API访问的安全，主要通过以下过滤器进行请求资源认证：

1)UsernamepasswordAuthenticationFilter：主要负责表单的认证；

2)BasicAuthenticationFilte：主要负责SpringSecurity默认的basic认证；

3)ExceptionTranslationFilter：基于抛出的错误跳转到对应的页面；

4)FilterSecurityInterceptor：过滤器类，根据配置确定是否访问后台接口；

(2)身份构建

为保证系统平台功能操作的安全性，不同的用户及角色具备不同的GitLab访问权限，通过系统用户名和密码访问GitLab API模拟生成对应用户的Token，用户基于该Token进行GitLab其他功能API的访问，即使用GitLab原生的权限系统进行操作。

4.根据权利要求1所述的基于GitLab API的系统自动化认证和授权处理方法，其特征在于，步骤2中，模拟GitLab登陆获取用户认证信息，存储于Cookies中，具体方法为：通过浏览器进行网页访问时，构造登录所需数据，并携带伪造的数据发送登录请求，经过服务器验证成功后，返回Session ID，并把Session的ID保存在客户机的Cookie中，每次请求都带上Cookie，实现会话状态的保持，进而实现用户权限的认证和对应资源的访问。

5.根据权利要求1所述的基于GitLab API的系统自动化认证和授权处理方法，其特征在于，在用户登出时，清除Cookies和认证信息。

6.一种基于GitLab API的系统自动化认证和授权处理系统，其特征在于，基于权利要求1-5任一项所述的方法进行基于GitLab API的系统自动化认证和授权处理。

7.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现权利要求1-5任一项所述的方法进行基于GitLab API的系统自动化认证和授权处理。

8.一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-5任一项所述的方法进行基于GitLab API的系统自动化认证和授权处理。

Images