金字塔：是否可以在沒有身份驗證的情況下使用授權？

Question

我的組織使用OpenAM SSO進行身份驗證，我的應用程序使用金字塔編寫。 用戶標識將在HTTP標頭中傳遞。 我也可以將它配置為傳遞組和權限，我可以在acl中使用它。 這使得金字塔中的身份驗證變得多余。 是否可以完全廢除Authenticaion政策並單獨授權？

Answer 1

您需要一種方法來告訴金字塔的授權系統該人是誰（他們的有效原則）。 這是身份驗證策略的責任，即使它像解析頭一樣簡單。

class CustomAuthenticationPolicy(object):
    def effective_principals(self, request):
        principals = [Everyone]

        identity = request.headers.get('x-identity')
        # validate the identity somehow
        if is_valid(identity):
            principals += [Authenticated, identity, 'g:editors']
        return principals

config.set_authentication_policy(CustomAuthenticationPolicy())