皮皮网

1.升级到 Pulsar3.0 后深入了解 JWT 鉴权

升级到 Pulsar3.0 后深入了解 JWT 鉴权

       在将Pulsar 2..2 升级到 3.0.1 的消费消费测试过程中，遇到了一个关于JWT鉴权的源码问题，这促使我深入理解了Pulsar的消费消费鉴权机制。

       Pulsar的源码鉴权机制以Namespace和Topic级别为主，生产环境中通常选择topic级别，消费消费以确保消息安全，源码源码有问题老被黑防止未经授权的消费消费应用访问。创建topic时，源码会绑定特定的消费消费应用，只有这个应用才能发送消息，源码其他尝试发送的消费消费请求将收到鉴权异常。

       订阅者也类似，源码通过关联特定应用，消费消费布林指标公式源码限制只有指定应用才能消费消息。源码这些功能主要通过Pulsar的消费消费admin-API实现，关键在于角色（通常为应用的AppId）的设定，确保唯一性。

       鉴权流程涉及生成公私钥、使用私钥生成token、tpshop 源码subject（与role相同）授权以及客户端使用token连接broker。在3.0版本之前，这些步骤通常无误，但在升级后，由于对proxyRole的处理变化，客户端连接问题出现。egret源码升级后的Pulsar对proxyRole进行了更严格的校验，要求在broker配置中指定，以确保只有经过proxyRole的Proxy才能访问。

       在遇到问题后，我发现客户端使用proxy-admin角色尝试连接时，与proxyRoles冲突，tpshop源码导致鉴权失败。通过源码和社区讨论，了解到客户端不能使用与proxyRole相同的角色，这可能是导致问题的原因之一。解决方案是更换一个超级角色，比如admin，即使在生产环境中，由于应用角色与proxyRole不同，这不会构成问题。

       另一个疑惑是关于token的生成，发现使用不同工具（Java vs Helm）生成的admin token存在差异。经过解码分析，发现是header部分的不同，而Go工具在生成token时会自带一个额外的header。这解释了为何看似不同的token仍然能通过鉴权。

       因此，了解Pulsar 3.0的JWT鉴权机制，特别是proxyRole的处理和token生成细节，对于解决此类问题至关重要。在升级过程中，确保正确配置和理解这些变化，能帮助避免潜在的连接问题。