user

User 模块

概述

User 模块是 MProxy 的统一用户管理模块，负责所有代理服务的用户认证和权限控制。

职责

• ✅ 用户认证（用户名/密码验证）
• ✅ 用户生命周期管理（CRUD）
• ✅ 权限控制（哪些代理服务可以访问）
• ✅ 连接数限制（per user）
• ✅ 用户状态管理（启用/禁用）

数据模型

mproxy_users 表

CREATE TABLE mproxy_users (
    id BIGINT PRIMARY KEY AUTO_INCREMENT,
    username VARCHAR(64) NOT NULL UNIQUE COMMENT '代理用户名',
    password_hash VARCHAR(256) NOT NULL COMMENT '密码哈希(bcrypt)',
    status ENUM('enabled', 'disabled') DEFAULT 'enabled' COMMENT '状态',
    max_connections INT DEFAULT 10 COMMENT '最大并发连接数',
    permissions JSON COMMENT '权限配置 {"rds": true, "ssh": false}',
    description VARCHAR(255) COMMENT '用户描述',
    created_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP,
    updated_at TIMESTAMP DEFAULT CURRENT_TIMESTAMP ON UPDATE CURRENT_TIMESTAMP,
    INDEX idx_username (username),
    INDEX idx_status (status)
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4 COMMENT='MProxy统一用户表';

permissions 字段说明

{
  "rds": true,      // 允许访问 RDS 代理
  "ssh": true,      // 允许访问 SSH 代理
  "redis": false,   // 禁止访问 Redis 代理
  "mongodb": false  // 禁止访问 MongoDB 代理
}

接口设计

核心接口

type Service interface {
    // 认证
    Authenticate(ctx context.Context, username, password string) (*User, error)
    
    // 查询
    GetUser(ctx context.Context, username string) (*User, error)
    ListUsers(ctx context.Context, req *ListRequest) (*UserSet, error)
    
    // 管理
    CreateUser(ctx context.Context, req *CreateRequest) (*User, error)
    UpdateUser(ctx context.Context, req *UpdateRequest) (*User, error)
    DeleteUser(ctx context.Context, username string) error
    
    // 权限检查
    HasPermission(ctx context.Context, username, service string) (bool, error)
}

User 模型

type User struct {
    Id              int64             `json:"id"`
    Username        string            `json:"username"`
    PasswordHash    string            `json:"-"`  // 不返回密码
    Status          string            `json:"status"`
    MaxConnections  int               `json:"max_connections"`
    Permissions     map[string]bool   `json:"permissions"`
    Description     string            `json:"description"`
    CreatedAt       time.Time         `json:"created_at"`
    UpdatedAt       time.Time         `json:"updated_at"`
}

使用场景

场景 1: 用户认证

// RDS 代理调用
user, err := userService.Authenticate(ctx, "app_developer", "password123")
if err != nil {
    return errors.New("认证失败")
}

// 检查 RDS 权限
hasAccess, _ := userService.HasPermission(ctx, user.Username, "rds")
if !hasAccess {
    return errors.New("无 RDS 访问权限")
}

场景 2: 创建用户

req := &CreateRequest{
    Username:       "new_user",
    Password:       "secure_password",
    MaxConnections: 20,
    Permissions: map[string]bool{
        "rds": true,
        "ssh": true,
    },
    Description: "新开发者账号",
}

user, err := userService.CreateUser(ctx, req)

场景 3: 权限管理

// 更新用户权限
req := &UpdateRequest{
    Username: "app_developer",
    Permissions: map[string]bool{
        "rds":   true,
        "redis": true,  // 新增 Redis 权限
    },
}

user, err := userService.UpdateUser(ctx, req)

API 端点

RESTful API

# 用户管理
GET    /api/mproxy/users              # 列表
GET    /api/mproxy/users/:username    # 详情
POST   /api/mproxy/users              # 创建
PUT    /api/mproxy/users/:username    # 更新
DELETE /api/mproxy/users/:username    # 删除

# 认证
POST   /api/mproxy/auth/verify        # 验证用户名密码

请求示例

# 创建用户
curl -X POST http://localhost:8080/api/mproxy/users \
  -H "Content-Type: application/json" \
  -d '{
    "username": "app_user",
    "password": "password123",
    "max_connections": 10,
    "permissions": {"rds": true, "ssh": false},
    "description": "应用用户"
  }'

# 查询用户
curl http://localhost:8080/api/mproxy/users/app_user

安全设计

1. 密码加密

• 使用 bcrypt 加密存储
• 加密强度：cost = 10

import "golang.org/x/crypto/bcrypt"

// 加密
hash, _ := bcrypt.GenerateFromPassword([]byte(password), 10)

// 验证
err := bcrypt.CompareHashAndPassword([]byte(hash), []byte(password))

2. 防暴力破解

• 同一用户 5 次失败后锁定 5 分钟
• 记录失败日志用于审计

3. 密码强度要求

• 最小长度 8 位
• 必须包含数字和字母
• 建议包含特殊字符

配置示例

[mproxy.user]
  # 元数据数据库配置
  [mproxy.user.db]
    host = "127.0.0.1"
    port = 3306
    username = "mproxy_admin"
    password = "admin_password"
    database = "mproxy_metadata"
    max_pool_size = 10
  
  # 密码策略
  [mproxy.user.password_policy]
    min_length = 8
    require_number = true
    require_letter = true
    require_special = false
  
  # 认证策略
  [mproxy.user.auth_policy]
    max_failed_attempts = 5
    lockout_duration = "5m"

依赖

• golang.org/x/crypto/bcrypt - 密码加密
• github.com/go-sql-driver/mysql - MySQL 驱动
• github.com/infraboard/mcube/v2 - 基础框架

文件结构

user/
├── README.md           # 本文档
├── interface.go        # 接口定义
├── impl.go            # 实现
├── model.go           # 数据模型
├── api.go             # HTTP API
└── impl_test.go       # 单元测试

后续增强

• OAuth2 集成
• LDAP 认证
• 双因素认证 (2FA)
• 密码过期策略
• 用户组管理