如何:验证创建容器的用户
在 Azure Fluid Relay 中创建容器时,ITokenProvider 提供的 JWT 只能用于创建一次请求。 创建容器后,客户端必须生成一个新的 JWT,其中包含服务在创建时提供的文档 ID(这实际上是容器 ID)。 如果应用程序具有管理容器访问控制的授权服务,则它需要知道谁创建了具有给定 ID 的容器,以便授权生成新的 JWT 以访问该容器。
创建容器时通知授权服务
应用程序可以通过在其 TokenProvider
中实现公共 documentPostCreateCallback() 方法来绑定到容器创建生命周期。 (此函数的名称可能令人费解。它实际上是容器创建后的回调。)在创建容器之后,并且在客户端请求新的 JWT 来获取对所创建的容器的读/写权限之前,系统将直接触发此回调。
documentPostCreateCallback()
接收两个参数:1)创建的容器的 ID(也称为“文档 ID”)和 2)由没有权限范围的服务签名的 JWT。 授权服务可以验证给定的 JWT,并使用 JWT 中的信息为新创建的容器授予正确的用户权限。
为容器创建回调创建终结点
下面的这一示例是 Azure 函数,基于如何:使用 Azure 函数编写 TokenProvider 中的示例。
import { AzureFunction, Context, HttpRequest } from "@azure/functions";
import { ITokenClaims, IUser } from "@fluidframework/protocol-definitions";
import * as jwt from "jsonwebtoken";
// NOTE: retrieve the key from a secure location.
const key = "myTenantKey";
const httpTrigger: AzureFunction = async function (context: Context, req: HttpRequest): Promise<void> {
const token = (req.query.token || (req.body && req.body.token)) as string;
const documentId = (req.query.documentId || (req.body && req.body.documentId)) as string;
if (!token) {
context.res = {
status: 400,
body: "No token provided in request",
};
return;
}
if (!documentId) {
context.res = {
status: 400,
body: "No documentId provided in request",
};
return;
}
const claims = jwt.decode(token) as ITokenClaims;
if (!claims) {
context.res = {
status: 403,
body: "Missing token claims",
};
return;
}
const tenantId = claims.tenantId;
if (!claims) {
context.res = {
status: 400,
body: "No tenantId provided in token claims",
};
return;
}
if (!key) {
context.res = {
status: 404,
body: `No key found for the provided tenantId: ${tenantId}`,
};
return;
}
try {
jwt.verify(token, key);
} catch (e) {
if (e instanceof jwt.TokenExpiredError) {
context.res = {
status: 401,
body: `Token is expired`,
};
return
}
context.res = {
status: 403,
body: `Token signed with invalid key`,
}
return;
}
const user: IUser = claims.user;
// Pseudo-function: implement according to your needs
giveUserPermissionsForContainer(documentId, user);
context.res = {
status: 200,
body: "OK",
};
};
export default httpTrigger;
实现 documentPostCreateCallback
以下示例实现扩展了 AzureFunctionTokenProvider,并使用 axios 库向用于生成令牌的 Azure 函数发出 HTTP 请求。
import { AzureFunctionTokenProvider, AzureMember } from "@fluidframework/azure-client";
import axios from "axios";
/**
* Token Provider implementation for connecting to an Azure Function endpoint for
* Azure Fluid Relay token resolution.
*/
export class AzureFunctionTokenProviderWithContainerCreateCallback extends AzureFunctionTokenProvider {
/**
* Creates a new instance using configuration parameters.
* @param azFunctionUrl - URL to Azure Function endpoint
* @param user - User object
*/
constructor(
private readonly authAzFunctionUrl: string,
azFunctionUrl: string,
user?: Pick<AzureMember, "userId" | "userName" | "additionalDetails">,
) {
super(azFunctionUrl, user);
}
// In this context, a document is another name for container, so you can think of this function
// as if it were named containerPostCreateCallback.
public async documentPostCreateCallback?(documentId: string, creationToken: string): Promise<void> {
await axios.post(this.authAzFunctionUrl, {
params: {
documentId,
token: creationToken,
},
});
}
}