最近在Nacos使用中，發(fā)現(xiàn)訪問Nacos頁面，跳過鑒權認證，不需要登錄就進去了。。。

先說個前提:  用了以下方法開啟鑒權，記住，一定要記住，一定一定一定要記住：以后但凡項目的yml文件中要使用Nacos的話，一定要配置username和password。

廢話不多說，直接開整：

一：修改 /nacos/conf/application.properties 配置文件

• 啟動登錄認證功能  原本是false修改為true

  nacos.core.auth.enabled=true

• 客戶端和服務端交互時用于加密的密鑰，可以防止認證過程中的信息泄露。

  nacos.core.auth.server.identity.key=yourKey                         
  ???????nacos.core.auth.server.identity.value=yourKey

• 設置 Token 認證的密鑰

  nacos.core.auth.plugin.nacos.token.secret.key=SecretKey012345678901234567890123456789012345678901234567890123456789

• Nacos集成SpringBoot實現(xiàn)服務注冊與發(fā)現(xiàn)，操作服務注冊是，yml文件中需要添加 username和passwrod

  cloud:
    nacos:
      discovery:
        username: nacos
        password: nacos

此時關閉服務（ sh shutdown.sh ），再重啟服務（ sh startup.sh -m standalone ），進入nacos頁面就可以登錄了。

二：具體分析一下上邊修改的這些配置

1.nacos.core.auth.enabled 是 Nacos 中的一個配置,用于控制是否開啟登錄認證功能。

當 nacos.core.auth.enabled=true 時,Nacos 啟動登錄認證功能。此時訪問 Nacos 服務端 API 和控制臺,都需要輸入用戶名和密碼。

默認的用戶名和密碼都是 nacos。

當 nacos.core.auth.enabled=false 時,Nacos 禁用登錄認證功能。此時訪問 Nacos 服務端 API 和控制臺,不需要任何登錄,可以匿名訪問。

啟用認證功能可以提高 Nacos 的安全性,防止服務端被非授權訪問。所以對于生產(chǎn)環(huán)境中的 Nacos Server,推薦設置為 true。

當認證功能被啟用時,如果客戶端(其他服務或控制臺用戶)無法提供正確的用戶名和密碼,將無法訪問 Nacos Server。這可以防止非授權用戶訪問可能的敏感信息。

Nacos 還支持更高級的認證方式,如 LDAP 認證。但基于 username/password 的簡單認證已經(jīng)可以滿足大多數(shù)安全需求。

理解 Nacos 服務端的各項認證配置,有助于我們保障 Nacos 系統(tǒng)的安全可靠運行。

2.nacos.core.auth.server.identity.key/value

nacos.core.auth.server.identity.key是 Nacos 中的一個配置,用于身份驗證的對稱加密密鑰。

nacos.core.auth.server.identity.value 是 Nacos 中的一個配置,用于身份驗證的對稱加密密鑰值

當 Nacos 啟用更高級的 LDAP/AD 認證方式時,nacos.core.auth.server.identity.key/value 配置非常重要。它作為客戶端和服務端交互時用于加密的密鑰,可以防止認證過程中的信息泄露。

如果不配置此項,Nacos 在 LDAP/AD 認證過程中會使用默認密鑰,這會造成安全隱患。

所以在生產(chǎn)環(huán)境下,強烈建議設置 nacos.core.auth.server.identity.key/value。

3.nacos.core.auth.plugin.nacos.token.secret.key 是 Nacos 中的一個配置,用于設置 Token 認證的密鑰。

當 Nacos 啟用 Token 認證方式時,nacos.core.auth.plugin.nacos.token.secret.key 用于生成和驗證 Token。

如果不配置此項,默認會使用一個不安全的隨機密鑰,這會帶來安全隱患。

所以在生產(chǎn)環(huán)境下使用 Token 認證方式時,強烈建議設置 nacos.core.auth.plugin.nacos.token.secret.key。

到此這篇關于SpringCloudAlibaba Nacos開啟鑒權解決跳過登錄頁面問題的文章就介紹到這了,更多相關SpringCloudAlibaba Nacos開啟鑒權內(nèi)容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！

最新評論