可观测性运维后端【免费下载链接】PulseReal-time monitoring dashboard for Proxmox VE, PBS, Docker, Kubernetes, TrueNAS and vSphere. Self-hosted, with smart alerts and AI patrols that catch silent failures.项目地址https://gitcode.com/gh_mirrors/pulse27/Pulse点击查看免费下载本文档是 Pulse 项目api-token-scope-and-assignment门禁gate的验证记录2026-03-12完整呈现了 API Token 在会话身份归属绑定、多租户组织隔离、作用域强制校验与即时吊销、以及 v6agent:*作用域别名归一化四个维度的端到端验证过程。通过阅读本文你将掌握 Pulse API Token 的创建、授权、隔离、吊销与遗留别名兼容的完整行为契约并能在自己的部署环境中复现同样的手工验证路径。验证环境与前置条件本次验证运行在 Pulse 自托管后端上核心环境参数如下受管本地后端http://127.0.0.1:61530多租户授权配置文件multi-tenant被测认证用户admin整个验证分为两部分自动化证据基线Automated Proof Baseline与手工演练Manual Exercise。自动化测试覆盖 Go 后端、前端 React 组件与端到端集成测试三个层次手工演练则模拟真实操作者对会话、Token 生命周期与多组织边界的实际操作。自动化证据基线三层测试矩阵门禁的自动化证据由以下命令构成验证结果全部为pass后端 Go 测试覆盖 API Token、安全令牌、系统设置与多租户四大主题的回归测试go test ./internal/api -run Test(APIToken|SecurityTokens|SystemSettings|MultiTenant) -count1聚焦作用域归一化与遗留别名兼容的契约测试go test ./internal/api \ -run TestNormalizeRequestedScopesCanonicalizesLegacyUnifiedAgentAliases|TestUnifiedAgentEndpointsAcceptLegacyUnifiedAgentReportScopeAlias|TestContract_APITokenScopeAliasNormalization \ -count1上述三个用例分别验证请求作用域归一化函数会把host-agent:*遗留别名改写为 v6 规范作用域、统一 Agent 端点接受遗留unified-agent上报别名、以及 API Token 作用域别名归一化的契约。相关的源码佐证位于 internal/api/security_tokens_test.goTestNormalizeRequestedScopesCanonicalizesLegacyUnifiedAgentAliases直接断言host-agent:report与host-agent:config:read被归一化为agent:config:read与agent:report与 internal/api/contract_test.go。前端组件与工具函数测试cd frontend-modern npx vitest run \ src/components/Settings/__tests__/APITokenManager.test.tsx \ src/utils/__tests__/apiClient.org.test.ts \ src/utils/__tests__/apiTokenPresentation.test.ts \ src/utils/__tests__/frontendResourceTypeBoundaries.test.ts前端对应的 Token 管理界面实现在 frontend-modern/src/components/Settings/APITokenManager.tsx 及其配套的状态管理钩子 frontend-modern/src/components/Settings/useAPITokenManagerState.ts。端到端集成测试cd tests/integration \ PULSE_E2E_USE_LOCAL_BACKEND1 \ PULSE_E2E_SKIP_PLAYWRIGHT_INSTALL1 \ PULSE_MULTI_TENANT_ENABLEDtrue \ npm test -- tests/13-api-token-scope.spec.ts --projectchromium端到端用例tests/13-api-token-scope.spec.ts在本地后端、跳过 Playwright 安装、开启多租户的前提下以 Chromium 项目跑通完整的作用域场景是验证multi-tenant授权配置在真实 HTTP 链路上生效的最终证据。手工演练完整的 13 步操作实录第 1 步建立会话并取得凭据以admin身份通过POST /api/login登录受管本地后端取得会话 Cookie 与 CSRF Cookie后续所有 Token 管理请求均携带这对凭据。这一步确立了会话创建 Token的归属主体——后续创建的 Token 都会自动绑定到当前认证用户身份上。第 24 步最小权限 Token 的创建、放行与拒绝创建一个绑定所有者的 API Token只授予settings:read单一作用域。创建响应中可以看到ownerUserIdadmin即 Token 归属到当前会话用户。随后用该 Token 发起三类请求验证作用域强制机制请求所需作用域requiredScope期望结果GET /api/system/settingssettings:read成功200POST /api/security/tokenssettings:write拒绝missing_scopePOST /api/ai/execute/streamai:execute拒绝missing_scopePATCH /api/agents/agent/host-1/configagent:manage拒绝missing_scope这条链路在源码中的实现路径非常清晰作用域校验由 internal/api/apihttp/scope.go 中的EnsureScope/EnsureAnyScope完成当凭据缺少所需作用域时返回结构化的missing_scope错误体其中携带requiredScope单作用域或requiredScopes多作用域候选字段便于客户端精确得知缺失的是哪个作用域Token 的创建则统一经过 internal/api/security_tokens.go 的normalizeRequestedScopes进行规范化。文档实测中的 Read、mutate、exec 三类作用域强制均返回预期的missing_scope失败并带有规范作用域名称 正是该实现的行为契约。第 5 步吊销与即时失效通过DELETE /api/security/tokens/{id}吊销上述 Token随后立即用旧的 Bearer Token 再次请求GET /api/system/settings返回401。吊销的底层逻辑位于 internal/api/security_tokens.go 的handleDeleteAPIToken从内存配置中移除记录并通过持久化层落盘持久化失败时回滚内存状态以保证与磁盘一致因此凭据在服务端记录消失的瞬间即告失效无需等待任何缓存过期。值得一提的安全细节handleDeleteAPIToken与handleRotateAPIToken都实现了作用域升级防护——若调用者本身是 API Token则只能删除/轮换作用域是其自身作用域子集的 Token防止低权限 Token 通过删除或轮换高权限 Token 造成锁定或拿到更高级别的原始凭据。第 68 步多租户组织隔离创建两个组织manual-token-org-a-1773352558099-998718manual-token-org-b-1773352558099-245536在组织 A 的作用域下创建一个组织绑定 Token创建响应仍然绑定ownerUserIdadmin归属主体不因组织切换而改变。随后用该 Token 验证组织边界GET /api/orgs/{orgA}/members→200GET /api/orgs/{orgB}/members→403错误信息为Token is not authorized for this organization组织隔离在数据模型中通过APITokenRecord的OrgID单组织绑定与OrgIDsMSP 多组织访问设置时优先于OrgID字段实现定义见 internal/config/api_tokens.go。授权层在 internal/api/authorization.go 生成 Token is not authorized for this organization 的拒绝原因并由 internal/api/access_admin_handlers.go、internal/api/cloud_org_admin_auth.go 等组织管理端点统一以403返回。第 912 步遗留作用域别名的 v6 归一化创建 Token 时使用遗留作用域host-agent:report创建后存储的作用域被规范化canonicalize为agent:report。该 Token 对两个统一 Agent 上报端点均能到达处理器POST /api/agents/agent/reportPOST /api/agents/host/report两者都仅因故意构造的非法 JSON 返回400而非因作用域授权失败被拦下——证明遗留别名 Token 通过了作用域门禁只是业务数据不合法。同理使用遗留作用域host-agent:config:read创建的 Token 被归一化为agent:config:read对配置读取端点GET /api/agents/agent/host-1/configGET /api/agents/host/host-1/config均通过作用域授权仅因合成 host 尚未注册返回404 agent_not_found而非403。别名映射表定义在 internal/config/api_tokens.govar legacyScopeAliases map[string]string{ host-agent:report: ScopeAgentReport, // agent:report host-agent:config:read: ScopeAgentConfigRead, // agent:config:read host-agent:manage: ScopeAgentManage, // agent:manage host-agent:enroll: ScopeAgentEnroll, // agent:enroll }运行时入口则在 internal/api/security_tokens.go 的canonicalizeRequestedScope其在normalizeRequestedScopes内被逐项调用同时 internal/config/api_tokens.go 的ensureScopes会在记录加载/克隆时对已存储的遗留别名做同样的改写。规范作用域的字符串常量集中在 pkg/auth/scopes.go如agent:report、agent:config:read、agent:manage、agent:enrollIsKnownScope只接受规范标识符这保证了从配置、API 请求、持久化到授权校验的整条链路上遗留host-agent:*别名都会被收敛到 v6 的agent:*命名空间。第 13 步清理演练结束后删除临时创建的组织绑定 Token、遗留别名 Token并移除两个临时组织避免在环境中留下测试残留。结果验收Outcome本次门禁验证共确认五项行为契约会话创建的 API Token 始终绑定到认证用户身份无论是否处于组织作用域下ownerUserId都指向创建者admin。归属写入由 internal/api/security_tokens.go 的setAPITokenOwnerUserID与apiTokenOwnerUserIDForRequest完成优先取请求携带的 Token 元数据其次取上下文中的已认证用户最后回退到配置中的认证用户名调用者元数据中的owner_user_id是保留键外部无法伪造。组织绑定 Token 被严格限制在签发组织内跨组织访问返回403 Token is not authorized for this organization。读、写、执行三类作用域强制均返回预期的missing_scope错误并携带规范作用域名称settings:write、ai:execute、agent:manage。吊销立即令 Bearer Token 失效删除后旧凭据立刻得到401。遗留持久化的host-agent:*作用域别名被归一化为 v6agent:*规范作用域并顺利通过规范化的上报/配置读取作用域门禁agent:report、agent:config:read与统一 Agent 端点的行为完全兼容。源码深度解读作用域生命周期全景如果把上面的验证结论映射到源码可以串出一条完整的 Token 生命周期链路创建handleCreateAPIToken解码请求体 →normalizeRequestedScopes空字段默认全量*、空列表/空字符串/未知作用域拒绝、*与显式作用域混用拒绝、去重并按字典序排序→ 检查调用方 Token 是否持有待授予作用域防升级→ 生成原始凭据与哈希记录 → 绑定OrgID与ownerUserId→ 落盘失败则回滚。expiresIn支持24h/720h/8760h等 Go duration 格式且最短不得低于 1 分钟。查询GET /api/security/tokens、GET /api/security/tokens/{id}仅返回元数据DTO绝不回显原始凭据。更新/重命名handleUpdateAPIToken不轮换密钥若调用方是 Token需同时持有目标 Token 的现有作用域与请求的新作用域防止缩小/篡改更高权限凭据。轮换handleRotateAPIToken原子地生成新 Token 并移除旧 Token保留组织绑定、元数据与过期策略持久化失败时整体回滚。吊销DELETE /api/security/tokens/{id}删除记录并落盘配合前端 frontend-modern/src/components/Settings/APITokenManager.tsx 形成撤销即失效的完整闭环。对于需要在自有环境中复现本门禁验证的读者建议按multi-tenant授权配置启动本地后端默认端口61530依次执行文档中第 113 步操作并配合上文三组自动化测试命令对照验证。整个验证表明Pulse 的 API Token 体系在最小权限授予、组织隔离、即时吊销、遗留兼容四个维度上均形成了可自动化、可手工复现、可审计的行为契约。赞分享可观测性运维后端【免费下载链接】PulseReal-time monitoring dashboard for Proxmox VE, PBS, Docker, Kubernetes, TrueNAS and vSphere. Self-hosted, with smart alerts and AI patrols that catch silent failures.项目地址https://gitcode.com/gh_mirrors/pulse27/Pulse点击查看免费下载相关推荐Rustcat(rcat) vs Netcat为什么现代网络安全工具需要升级到RustcatRustcat rcat vs Netcat为什么现代网络安全工具需要升级到Rustcat Rustcat rcat 作为一款现代端口监听和反向 shell被 500 多所大学采用的《动手学深度学习》公式旁边就能跑代码被 500 多所大学采用的《动手学深度学习》公式旁边就能跑代码 看视频觉得都懂了一写代码就卡住《动手学深度学习》就是冲着这个痛点来的每页公式旁边都配着能人工智能深度学习机器学习教程Astrid 主体验证与按调用隔离从 PrincipalId 到 IPC 透明重定作用域的内核实现解析Astrid 主体验证与按调用隔离从 PrincipalId 到 IPC 透明重定作用域的内核实现解析 导读 在 Astrid 操作系统中从 KV 命名空间文档教程上一篇京东抢购神器3分钟学会用Python脚本自动抢茅台下一篇TypePHP bigFloat 教程256位 MPFR 高精度浮点计算完全实战指南创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 Pulse API Token 作用域与归属绑定验证实录：从会话建权、组织隔离到 v6 作用域别名归一化
可观测性运维后端【免费下载链接】PulseReal-time monitoring dashboard for Proxmox VE, PBS, Docker, Kubernetes, TrueNAS and vSphere. Self-hosted, with smart alerts and AI patrols that catch silent failures.项目地址https://gitcode.com/gh_mirrors/pulse27/Pulse点击查看免费下载本文档是 Pulse 项目api-token-scope-and-assignment门禁gate的验证记录2026-03-12完整呈现了 API Token 在会话身份归属绑定、多租户组织隔离、作用域强制校验与即时吊销、以及 v6agent:*作用域别名归一化四个维度的端到端验证过程。通过阅读本文你将掌握 Pulse API Token 的创建、授权、隔离、吊销与遗留别名兼容的完整行为契约并能在自己的部署环境中复现同样的手工验证路径。验证环境与前置条件本次验证运行在 Pulse 自托管后端上核心环境参数如下受管本地后端http://127.0.0.1:61530多租户授权配置文件multi-tenant被测认证用户admin整个验证分为两部分自动化证据基线Automated Proof Baseline与手工演练Manual Exercise。自动化测试覆盖 Go 后端、前端 React 组件与端到端集成测试三个层次手工演练则模拟真实操作者对会话、Token 生命周期与多组织边界的实际操作。自动化证据基线三层测试矩阵门禁的自动化证据由以下命令构成验证结果全部为pass后端 Go 测试覆盖 API Token、安全令牌、系统设置与多租户四大主题的回归测试go test ./internal/api -run Test(APIToken|SecurityTokens|SystemSettings|MultiTenant) -count1聚焦作用域归一化与遗留别名兼容的契约测试go test ./internal/api \ -run TestNormalizeRequestedScopesCanonicalizesLegacyUnifiedAgentAliases|TestUnifiedAgentEndpointsAcceptLegacyUnifiedAgentReportScopeAlias|TestContract_APITokenScopeAliasNormalization \ -count1上述三个用例分别验证请求作用域归一化函数会把host-agent:*遗留别名改写为 v6 规范作用域、统一 Agent 端点接受遗留unified-agent上报别名、以及 API Token 作用域别名归一化的契约。相关的源码佐证位于 internal/api/security_tokens_test.goTestNormalizeRequestedScopesCanonicalizesLegacyUnifiedAgentAliases直接断言host-agent:report与host-agent:config:read被归一化为agent:config:read与agent:report与 internal/api/contract_test.go。前端组件与工具函数测试cd frontend-modern npx vitest run \ src/components/Settings/__tests__/APITokenManager.test.tsx \ src/utils/__tests__/apiClient.org.test.ts \ src/utils/__tests__/apiTokenPresentation.test.ts \ src/utils/__tests__/frontendResourceTypeBoundaries.test.ts前端对应的 Token 管理界面实现在 frontend-modern/src/components/Settings/APITokenManager.tsx 及其配套的状态管理钩子 frontend-modern/src/components/Settings/useAPITokenManagerState.ts。端到端集成测试cd tests/integration \ PULSE_E2E_USE_LOCAL_BACKEND1 \ PULSE_E2E_SKIP_PLAYWRIGHT_INSTALL1 \ PULSE_MULTI_TENANT_ENABLEDtrue \ npm test -- tests/13-api-token-scope.spec.ts --projectchromium端到端用例tests/13-api-token-scope.spec.ts在本地后端、跳过 Playwright 安装、开启多租户的前提下以 Chromium 项目跑通完整的作用域场景是验证multi-tenant授权配置在真实 HTTP 链路上生效的最终证据。手工演练完整的 13 步操作实录第 1 步建立会话并取得凭据以admin身份通过POST /api/login登录受管本地后端取得会话 Cookie 与 CSRF Cookie后续所有 Token 管理请求均携带这对凭据。这一步确立了会话创建 Token的归属主体——后续创建的 Token 都会自动绑定到当前认证用户身份上。第 24 步最小权限 Token 的创建、放行与拒绝创建一个绑定所有者的 API Token只授予settings:read单一作用域。创建响应中可以看到ownerUserIdadmin即 Token 归属到当前会话用户。随后用该 Token 发起三类请求验证作用域强制机制请求所需作用域requiredScope期望结果GET /api/system/settingssettings:read成功200POST /api/security/tokenssettings:write拒绝missing_scopePOST /api/ai/execute/streamai:execute拒绝missing_scopePATCH /api/agents/agent/host-1/configagent:manage拒绝missing_scope这条链路在源码中的实现路径非常清晰作用域校验由 internal/api/apihttp/scope.go 中的EnsureScope/EnsureAnyScope完成当凭据缺少所需作用域时返回结构化的missing_scope错误体其中携带requiredScope单作用域或requiredScopes多作用域候选字段便于客户端精确得知缺失的是哪个作用域Token 的创建则统一经过 internal/api/security_tokens.go 的normalizeRequestedScopes进行规范化。文档实测中的 Read、mutate、exec 三类作用域强制均返回预期的missing_scope失败并带有规范作用域名称 正是该实现的行为契约。第 5 步吊销与即时失效通过DELETE /api/security/tokens/{id}吊销上述 Token随后立即用旧的 Bearer Token 再次请求GET /api/system/settings返回401。吊销的底层逻辑位于 internal/api/security_tokens.go 的handleDeleteAPIToken从内存配置中移除记录并通过持久化层落盘持久化失败时回滚内存状态以保证与磁盘一致因此凭据在服务端记录消失的瞬间即告失效无需等待任何缓存过期。值得一提的安全细节handleDeleteAPIToken与handleRotateAPIToken都实现了作用域升级防护——若调用者本身是 API Token则只能删除/轮换作用域是其自身作用域子集的 Token防止低权限 Token 通过删除或轮换高权限 Token 造成锁定或拿到更高级别的原始凭据。第 68 步多租户组织隔离创建两个组织manual-token-org-a-1773352558099-998718manual-token-org-b-1773352558099-245536在组织 A 的作用域下创建一个组织绑定 Token创建响应仍然绑定ownerUserIdadmin归属主体不因组织切换而改变。随后用该 Token 验证组织边界GET /api/orgs/{orgA}/members→200GET /api/orgs/{orgB}/members→403错误信息为Token is not authorized for this organization组织隔离在数据模型中通过APITokenRecord的OrgID单组织绑定与OrgIDsMSP 多组织访问设置时优先于OrgID字段实现定义见 internal/config/api_tokens.go。授权层在 internal/api/authorization.go 生成 Token is not authorized for this organization 的拒绝原因并由 internal/api/access_admin_handlers.go、internal/api/cloud_org_admin_auth.go 等组织管理端点统一以403返回。第 912 步遗留作用域别名的 v6 归一化创建 Token 时使用遗留作用域host-agent:report创建后存储的作用域被规范化canonicalize为agent:report。该 Token 对两个统一 Agent 上报端点均能到达处理器POST /api/agents/agent/reportPOST /api/agents/host/report两者都仅因故意构造的非法 JSON 返回400而非因作用域授权失败被拦下——证明遗留别名 Token 通过了作用域门禁只是业务数据不合法。同理使用遗留作用域host-agent:config:read创建的 Token 被归一化为agent:config:read对配置读取端点GET /api/agents/agent/host-1/configGET /api/agents/host/host-1/config均通过作用域授权仅因合成 host 尚未注册返回404 agent_not_found而非403。别名映射表定义在 internal/config/api_tokens.govar legacyScopeAliases map[string]string{ host-agent:report: ScopeAgentReport, // agent:report host-agent:config:read: ScopeAgentConfigRead, // agent:config:read host-agent:manage: ScopeAgentManage, // agent:manage host-agent:enroll: ScopeAgentEnroll, // agent:enroll }运行时入口则在 internal/api/security_tokens.go 的canonicalizeRequestedScope其在normalizeRequestedScopes内被逐项调用同时 internal/config/api_tokens.go 的ensureScopes会在记录加载/克隆时对已存储的遗留别名做同样的改写。规范作用域的字符串常量集中在 pkg/auth/scopes.go如agent:report、agent:config:read、agent:manage、agent:enrollIsKnownScope只接受规范标识符这保证了从配置、API 请求、持久化到授权校验的整条链路上遗留host-agent:*别名都会被收敛到 v6 的agent:*命名空间。第 13 步清理演练结束后删除临时创建的组织绑定 Token、遗留别名 Token并移除两个临时组织避免在环境中留下测试残留。结果验收Outcome本次门禁验证共确认五项行为契约会话创建的 API Token 始终绑定到认证用户身份无论是否处于组织作用域下ownerUserId都指向创建者admin。归属写入由 internal/api/security_tokens.go 的setAPITokenOwnerUserID与apiTokenOwnerUserIDForRequest完成优先取请求携带的 Token 元数据其次取上下文中的已认证用户最后回退到配置中的认证用户名调用者元数据中的owner_user_id是保留键外部无法伪造。组织绑定 Token 被严格限制在签发组织内跨组织访问返回403 Token is not authorized for this organization。读、写、执行三类作用域强制均返回预期的missing_scope错误并携带规范作用域名称settings:write、ai:execute、agent:manage。吊销立即令 Bearer Token 失效删除后旧凭据立刻得到401。遗留持久化的host-agent:*作用域别名被归一化为 v6agent:*规范作用域并顺利通过规范化的上报/配置读取作用域门禁agent:report、agent:config:read与统一 Agent 端点的行为完全兼容。源码深度解读作用域生命周期全景如果把上面的验证结论映射到源码可以串出一条完整的 Token 生命周期链路创建handleCreateAPIToken解码请求体 →normalizeRequestedScopes空字段默认全量*、空列表/空字符串/未知作用域拒绝、*与显式作用域混用拒绝、去重并按字典序排序→ 检查调用方 Token 是否持有待授予作用域防升级→ 生成原始凭据与哈希记录 → 绑定OrgID与ownerUserId→ 落盘失败则回滚。expiresIn支持24h/720h/8760h等 Go duration 格式且最短不得低于 1 分钟。查询GET /api/security/tokens、GET /api/security/tokens/{id}仅返回元数据DTO绝不回显原始凭据。更新/重命名handleUpdateAPIToken不轮换密钥若调用方是 Token需同时持有目标 Token 的现有作用域与请求的新作用域防止缩小/篡改更高权限凭据。轮换handleRotateAPIToken原子地生成新 Token 并移除旧 Token保留组织绑定、元数据与过期策略持久化失败时整体回滚。吊销DELETE /api/security/tokens/{id}删除记录并落盘配合前端 frontend-modern/src/components/Settings/APITokenManager.tsx 形成撤销即失效的完整闭环。对于需要在自有环境中复现本门禁验证的读者建议按multi-tenant授权配置启动本地后端默认端口61530依次执行文档中第 113 步操作并配合上文三组自动化测试命令对照验证。整个验证表明Pulse 的 API Token 体系在最小权限授予、组织隔离、即时吊销、遗留兼容四个维度上均形成了可自动化、可手工复现、可审计的行为契约。赞分享可观测性运维后端【免费下载链接】PulseReal-time monitoring dashboard for Proxmox VE, PBS, Docker, Kubernetes, TrueNAS and vSphere. Self-hosted, with smart alerts and AI patrols that catch silent failures.项目地址https://gitcode.com/gh_mirrors/pulse27/Pulse点击查看免费下载相关推荐Rustcat(rcat) vs Netcat为什么现代网络安全工具需要升级到RustcatRustcat rcat vs Netcat为什么现代网络安全工具需要升级到Rustcat Rustcat rcat 作为一款现代端口监听和反向 shell被 500 多所大学采用的《动手学深度学习》公式旁边就能跑代码被 500 多所大学采用的《动手学深度学习》公式旁边就能跑代码 看视频觉得都懂了一写代码就卡住《动手学深度学习》就是冲着这个痛点来的每页公式旁边都配着能人工智能深度学习机器学习教程Astrid 主体验证与按调用隔离从 PrincipalId 到 IPC 透明重定作用域的内核实现解析Astrid 主体验证与按调用隔离从 PrincipalId 到 IPC 透明重定作用域的内核实现解析 导读 在 Astrid 操作系统中从 KV 命名空间文档教程上一篇京东抢购神器3分钟学会用Python脚本自动抢茅台下一篇TypePHP bigFloat 教程256位 MPFR 高精度浮点计算完全实战指南创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考