revocationpolicy

Overview ¶

Package revocationpolicy — ОДНО правило «отсечка отзыва-всех человека запрещает полномочие, возникшее не позже неё», общее для всех полос удостоверений человека: чеканящих ему токен и принимающих его базовый секрет (задача kaname#379).

Почему общий источник, а не одинаковая проверка в каждой полосе ¶

Токен человеку выдают несколько полос: обратный вызов прежнего провайдера на выпуске, он же на обновлении и наш собственный токен-эндпоинт. Правило судит ЛЮБУЮ записанную отсечку владельца — каким бы действием, выводящим человека отовсюду, она ни была записана: строка на человека одна, и кто её пишет, правилу не важно и перечнем здесь не закрывается (перепись путей записи держит проба `client_token_revoke_all_integration_test.go`). Вопрос «вышел ли этот человек отовсюду после того, как возникло предъявленное полномочие» у всех полос ОДИН. Копия правила в каждой полосе разошлась бы молча: каждая полоса по отдельности выглядела бы исправной, неверной была бы их РАЗНИЦА. Здесь копия одна, и расхождение невозможно by construction — тот же приём, что у `audiencepolicy`. Одна здесь и обёртка предела времени на чтение отсечки отдельным запросом (WithDeadline): предел — тоже часть того, как полоса отвечает.

Базовый секрет человека принимает полоса предъявления — резолв и вопрос о живости открытого соединения. Отсечку она читает тем же оператором, что строку удостоверения, а судит её тем же сравнением (Forbids) с якорем в момент выдачи строки — тем, что Anchor называет для долговременного удостоверения. Отдельного запроса отсечки у неё нет, поэтому и обёртки нет: предел у неё — предел самого оператора, поданный авторитету при построении той же величиной, которую корень подаёт обёртке.

Оба сравниваемых момента — от одного источника (задачи kaname#388, kaname#589) ¶

Правило сравнивает моменты, а не события: точность его границы — это точность того, что оба момента поставлены ОДНИМ источником времени. Отсечку «сейчас», момент выдачи долговременного удостоверения (вместе со сроком), момент аутентификации сессии и `iat` подписанта ставит один источник — Clock, поданный корнем всем их писателям. Перепись писателей держит `TestEveryMomentComparedWithTheCutoffComesFromTheSharedClock`, поведение на двух репликах со сдвинутыми часами — `user_tokens.TestRevokeAll_IssuanceAndCutoffShareOneClockOnEveryRuleLane`.

Почему часы базы, а не часы процесса. Реплик службы больше одной, и часы процесса у каждой свои: момент, поставленный одной репликой, судился бы отсечкой, поставленной другой, и граница правила была бы их расхождением. Первичная база одна на все реплики, и её же часами (`now()`) отсечку ставят схемные писатели — триггеры снятия клиента и деактивации владельца. Прежний выбор (часы процесса — потому что ими держались прочие моменты, а `iat` в базу не уходит) снимал расхождение двух источников только внутри одной реплики; теперь `iat` тоже ставит база, и довод отпал.

Источник не ответил — глагол отказывает (ErrClockUnavailable); запасного пути к часам процесса нет ни у одного писателя, и запись момента выдачи без момента — отказ записи, а не подстановка умолчания столбца.

Что остаётся вне этого правила и названо: после смены первичной базы источник — часы новой первичной, и расхождение её часов со старой — расхождение синхронизации времени хостов базы, одно на все сравнения. Момент берётся до транзакции писателя, поэтому выданное между чтением источника и фиксацией отсечки ею не покрыто — то же окно, что было при часах процесса. Исключение одно — сброс ключей доступа (`user.ResetAccessKeysUseCase`, kaname#638): записей сессии он не снимает, и его отсечка читает тот же источник соединением своей транзакции после захвата строки личности.

Что здесь решается, а что — у вызывающего ¶

Решается ВЕРДИКТ: по принципалу, моменту его полномочия и отсечке. Что вызывающий делает с вердиктом — его дело и его словарь: хук отвечает провайдеру своим кодом и пишет свою причину в аудит, эндпоинт считает свой исход закрытого словаря. Словари разные, вердикт один.