從LMS啟動xAPI程序包時如何避免暴露LRS憑據

Question

我正在使用https://learninglocker.net/作為我們的LRS構建一個符合xAPI的LMS。 管理員可以上傳包含xAPI軟件包的zip文件。 LMS將解壓縮它，找到啟動文件，並允許用戶啟動該URL，並將LRS的憑據作為查詢參數傳遞。 然后，程序包可以將所需的任何內容直接報告給我們的LRS，而我們的LMS對此沒有任何控制權。

此外，由於LRS憑據在URL中處於普通視圖，因此精通技術的用戶可以使用它們將所需的任何記錄寫入LRS。

避免這種情況的標准方法是什么？ 目前，我能想到的唯一解決方案是不讓程序包訪問我們的LRS，而是通過我們的LMS將所有請求代理到我們的LRS，並讓程序包訪問該代理端點。

有沒有更好的方法？

Answer 1

代理方法應該起作用，並且對LRS的負擔最小。

在我們的實現中，我們使用對LRS具有有限權限的自動生成的短期（可配置）令牌。 這自然要求LRS具有允許這種情況的權限模型的實現，但我不知道Learning Locker是否這樣做。 在此設置中，用戶仍然可以直接訪問LRS，但是由於訪問限制，風險較低。

我的另一個建議是研究cmi5，而不是實施“錫罐”發射准則（大概就是您所發現的）。 它對LRS權限模型無濟於事，但它更多地是采用標准路徑，並且專門針對LMS模型中基於xAPI的內容。