guqing
|
ae6724a2b6
|
feat: implement persistent token based remember me mechanism (#6131)
#### What type of PR is this?
/kind feature
/area core
/milestone 2.17.x
#### What this PR does / why we need it:
新增基于持久化 Token 的 RememberMe 机制
本次更新引入了一种新的 RememberMe 机制，该机制基于持久化 Token，以增强安全性和管理灵活性。在此之前，RememberMe 功能通过以下方式生成 Token，并将其作为 cookie 发送回客户端：
```
username + ":" + expiryTime + ":" + algorithmName + ":"
+ algorithmHex(username + ":" + expiryTime + ":" + password + ":" + key)
```
此方法的优点在于无需存储 Token 就可以进行验证，并且用户密码的更改会自动使 Token 失效。然而，它的主要缺点是缺乏管理能力，例如无法手动撤销 Token。
鉴于最新的设备管理需求（见 PR #6100），我们需要一种支持设备撤销（revoke）的机制。因此，我们采用了持久化 Token 的方式，并通过随机生成的方法来提高安全性，而不将用户名和密码直接签名在 Token 中。新的 Token 格式如下：
```
base64(tokenValue:series)
```
此更改将为系统带来更高的安全保障和更灵活的管理选项，特别是在需要高度控制和监管设备访问时。
#### Does this PR introduce a user-facing change?
```release-note
引入基于持久化 Token 的新 RememberMe 机制以增强安全性和管理灵活性，升级后需要重新登录
```
|
2024-06-26 08:40:49 +00:00 |