Пишем gRPC сервис на Go — сервис авторизации

Отличная статья. У меня был свой сервис url shortener в 2006. Пришлось прикрыть: ссылки на порно через него делали добрые посетители)

А JWT  где передается в хэдерах в Cookie? Если так то у браузеров ограничение на 1024 символа. Изза ограничений размера, JWT  хранит ОЧЕНЬ много оверхэд информации. Не легче просто взять сериализовать JSON и зашифровать? получится тоже самое, но в 100 раз короче и поместить больше полей данных если будут JSON расширяться.

Подскажите, для этой таблицы/столбца SQLite разве не создаёт сразу уникальный индекс?

email TEXT NOT NULL UNIQUE,

Там просто ниже по коду миграции создаётся ещё один (неуникальный) индекс idx_email на этом столбце.

Не нашёл в заметке ссылку на исходники: https://github.com/GolangLessons/sso

"golang.org/x/exp/slog" можно заменить на "log/slog", т.к. в go.mod заявлено go 1.21

почему "ручка"? потому-что handle

Рекуррентно заходить в поддиректории оно, конечно, в таком виде не будет — это сделать немного сложнее.

Просто добавить две звёздочки для подпапок:

$ protoc -I proto proto/sso/**/*.proto --go_out=./gen/go/ --go_opt=paths=source_relative --go-grpc_out=./gen/go/ --go-grpc_opt=paths=source_relative

На Маке работает, если запускать команду в терминале.

Но если запускать команду внутри go_task, то ругается на "Could not make proto path relative: proto/sso/**/*.proto: No such file or directory"

Возможно, проблема связана с тем, как go_task обрабатывает символы подстановки, такие как **.

Потому для Taskfile.yaml пришлось применить вот такой вариант:

- mkdir -p gen/go & find ./proto/sso -name '*.proto' | xargs protoc -I proto --go_out=./gen/go/ --go_opt=paths=source_relative --go-grpc_out=./gen/go/ --go-grpc_opt=paths=source_relative

// TODO: инициализировать объект конфига
// TODO: инициализировать логгер

Лучше бы наоборот. Иначе мы не увидим в логе ошибки инициализации конфига. Но, тут возможна проблема курицы и яйца, т.к. в конфиге определяем, куда складывать логи. Вывод: нужно воспользоваться переменными окружения для конфигурирования логов.

/config/config_local.yaml хорошо бы прописать в .gitignore

type My struct{}

func (My) Try() {
	println("My")
}

type My2 struct {
	My
}

func (My2) Try() {
	println("My2")
}

func main() {
	My2{}.Try() // My2
}

Понял, что для структуры serverAPI можно перезаписать методы из встроенной UnimplementedAuthServer. Но зачем прослойка в виде интерфейса Auth, можно же сразу реализовывать интерфейс AuthServer внутри services/auth?

Сервер валидирует и тупо перекладывает данные и ошибки в слой бизнес-логики (services). Но валидация - часть бизнес-логики, а перекладывать данные и ошибки - вообще сомнительное занятие.

Интерфейсы UserSaver и UserProvider реализованы в Storage (как и в предыдущей статье), но тогда контекст можно вынести туда, а не таскать его каждый раз в методах SaveUser() и User(). Или я что-то не учитываю?

ведь кто сказал, что за сохранение и получение пользователей обязана отвечать одна система?

Нашёл ответ, зачем таскать контексты в каждом методе. Попахивает "предварительной оптимизацией". Даже если предположить, что источники данных для каждого интерфейса могут быть разные, у них вполне себе может быть общий слой Storage (в котором находится базовый контекст).

я обычно размещаю их в месте использования, а не рядом с реализацией

Согласен. Можно легко и убедительно обосновать. Но я бы оставлял в комментариях реализуемых методов, что это реализация такого-то интерфейса. Поможет поддерживать код?

Как применяется claims - не очень понятно, я бы исправил.

Текущая реализация метода имеет одну критичную дыру в безопасности — он не защищен от брутфорса (перебора паролей).

Это внешняя инфраструктурная задача относительно функциональности. Мы же не пихаем в каждый веб-сервис защиту от DDOS-атак. Например, поможет fail2ban

Смущает двойная обработка ошибок, например в Login. Зачем их там логировать? Напрашивается отдельный middleware-слой на потоке данных, в котором выполняется централизованное логирование.

func (s *Storage) Stop() error {
	return s.db.Close()
}

Номинально присутствует метод для остановки Storage, но он не применяется для Graceful Shutdown.

Просто хочу сказать Спасибо за такой прекрасный материал, именно таких подробных статей иногда не хватает для изучения нужных технологий, ещё раз спасибо!

Ещё бы знать, что авторизация (от authority, буквально: уполномочивание) -- это и есть та самая "работа с пермишнами". А то, что в этой статье называется этим словом -- аутентификация (от authenticity, буквально: проверка подлинности).

И по этой же причине понятие "авторизоваться" (то есть, уполномочить себя) не имеет смысла.

И да, использование правильной терминологии -- важно и позволяет сэкономить время при обсуждении. По той причине, что нередко за эти две задачи отвечают разные независимые компоненты. И то, что проблемы с аутентификацией и авторизацией решаются разными способами.

Спасибо Вам за статью! Хочу поделиться двумя предложениями, которые могли бы улучшить читаемость пары строк кода.

Вместо `signal.Notify(stop, syscall.SIGTERM, syscall.SIGINT)` мне на практике оказалось гораздо удобнее использовать `signal.NotifyContext(ctx, syscall.SIGTERM, syscall.SIGINT)`. Он не заставляет создавать лишние каналы снаружи) Он не сразу в пакете signal появился, поэтому про него часто не знают.

Для проверки диапазона времени можно использовать `require.WithinDuration(loginTime.Add(s.Config.TokenTTL), claims.ExpiresAt.Time, 1*time.Second)`. Должно выглядеть "прозрачнее" для читателя.

Спасибо Вам за статью!
Но чтобы было прям супер ультимативно - не хватает закрутки всего этого дела в docker. А там можно и postges поднять. Хоть это и пет проект, но что сейчас стоит в 2023 году уже почти 2024 запустить postgres в докере?
Я если честно думал, что SQLite доживает последние дни, хотя он как PHP - всё не сдаётся.

Спасибо за работу. Пишу пожелания - пока на запуске миграции.
1. Protos закинул в приватный пакет. Утомился разбираться, как забрать из приватного репозитория. Справился, кучу нового узнал.
2. Пакет Sqlite3 требует cgo(enabled+gcc). Потратил еще какую-то кучку времени. Нашел пакет https://gitlab.com/cznic/sqlite. Удалил пару троечек из /cmd/migator/main.go и заработало. Рекомендую внести изменение.