openGauss数据库源码解析系列文章——安全管理源码解析（一）

hostssl   DATABASE USER ADDRESS METHOD [OPTIONS]

typedef struct HbaLine
{
    int linenumber;          /*  规则行号 */
    ConnType conntype;      /*  连接套接字方法 */
    List* databases;        /*  允许访问的数据库集合*/
    List* roles;             /*  允许访问的用户组 */
…
    char* hostname;         /*  允许访问的IP地址 */
    UserAuth auth_method; /*  认证方法 */
…
} HbaLine;

typedef struct Port {
…
SockAddr laddr;             /*  本地进程IP（internet protocol，互联网协议）地址信息 */
SockAddr raddr;             /*  远端客户端进程IP地址信息  */
char* remote_host;         /*  远端host（主机）名称字符串或IP地址*/
char* remote_hostname;    /*  可选项，远程host名称字符串或IP地址*/
    …
    /*  发送给backend（后端）的数据包信息，包括访问的数据库名称、用户名、配置参数*/
char* database_name;
char* user_name;
char* cmdline_options;
List* guc_options;
    
/*  认证相关的配置信息*/
HbaLine* hba;
…
    /*  SSL（secure sockets layer，安全套接层，工作于套接字层的安全协议。）认证信息*/
#ifdef USE_SSL
    SSL* ssl;
    X509* peer;
    char* peer_cn;
    unsigned long count;
#endif
…
    /*  Kerberos认证数据结构信息*/
#ifdef ENABLE_GSS
    char* krbsrvname;           /*  Kerberos服务进程名称*/
    gss_ctx_id_t gss_ctx;         /*  GSS（generic security service，通用安全服务）数据内容*/
    gss_cred_id_t gss_cred;       /*  凭证信息*/
    gss_name_t gss_name;        
    gss_buffer_desc gss_outbuf;    /*  GSS token信息*/
#endif
} Port;

/**扫描HBA文件，寻找匹配连接请求的规则项 */
static void check_hba(hbaPort* port)
{
    ……
    /*  获取当前连接用户的id  */
    roleid = get_role_oid(port->user_name, true);
 
    foreach (line, t_thrd.libpq_cxt.parsed_hba_lines) {
        hba = (HbaLine*)lfirst(line);
        /*  认证连接行为分为本地连接行为和远程连接行为，需分开考虑  */
        if (hba->conntype == ctLocal) {
        /*  对于local套接字，仅允许初始安装用户本地登录  */
            if (roleid == INITIAL_USER_ID) {
                char sys_user[SYS_USERNAME_MAX + 1];
……
                /*  基于本地环境的uid（user identity，用户身份标识）信息获取当前系统用户名  */
                (void)getpwuid_r(uid, &pwtmp, pwbuf, pwbufsz, &pw);
                ……
 
                /*  记录当前系统用户名  */
                securec_check(strncpy_s(sys_user,SYS_USERNAME_MAX+1, pw->pw_name, SYS_USERNAME_MAX), "\0", "\0");
 
/*  对于访问用户与本地系统用户不相匹配的场景，均需提供密码  */
            if (strcmp(port->user_name, sys_user) != 0)
                hba->auth_method = uaSHA256;
            } else if (hba->auth_method == uaTrust) {
                hba->auth_method = uaSHA256;
            }
……
        } else {
            /*  访问行为是远端访问行为，需要逐条判断包括认证方式在内的信息正确性  */
            if (IS_AF_UNIX(port->raddr.addr.ss_family))
                continue;
    /*  SSL连接请求套接字判断  */
#ifdef USE_SSL
if (port->ssl != NULL) {
                    if (hba->conntype == ctHostNoSSL)
                        continue;
                } else {
                    if (hba->conntype == ctHostSSL)
                        continue;
                }
#else
             if (hba->conntype == ctHostSSL)
                   continue;
#endif
               /*  IP白名单校验  */
               switch (hba->ip_cmp_method) {
                   case ipCmpMask:
                       if (hba->hostname != NULL) {
                           if (!check_hostname(port, hba->hostname))
                               continue;
                       } else {
                           if (!check_ip(&port->raddr, (struct sockaddr*)&hba->addr, (struct sockaddr*)&hba->mask))
                               continue;
                       }
                       break;
                   case ipCmpAll:
                       break;
                   case ipCmpSameHost:
                   case ipCmpSameNet:
                       if (!check_same_host_or_net(&port->raddr, hba->ip_cmp_method))
                           continue;
                       break;
                   default:
                       /* shouldn't get here, but deem it no-match if so */
                       continue;
            }
        } /* != ctLocal */
 
        /*  校验数据库信息和用户信息  */
        if (!check_db(port->database_name, port->user_name, roleid, hba->databases))
            continue;
        if (!check_role(port->user_name, roleid, hba->roles))
            continue;
        ……
        port->hba = hba;
        return;
    }
 
    /*  没有匹配则拒绝当前连接请求  */
    hba = (HbaLine*)palloc0(sizeof(HbaLine));
    hba->auth_method = uaImplicitReject;
    port->hba = hba;
}