fix(chv-muse-r11fix): authd 层 3 socket 用 group 权限、层 4 裸 .git 当 pull
层 3：AuthdServer 不再 0700/0600 一刀切。socket 共享组取显式 socket_group 或第一个非 root 放行 uid 的主组（build_server 透 传；生产默认 allowed_uids=(0,1000) 派生 chv 主组），目录 0750 + socket 0660 + chgrp；解析不出（uid 无 passwd 条目）回落 root-only，绝不放 0666（探针 fixprobe8 用的 0666 不上生产）。 层 4：_operation_for_path 加裸 .git → GET/pull；Sentinel gitea 规则加 (GET, suffix, .git)，POST 裸 .git 仍拒。语义已定： 裸 .git 一律当 pull（只读默认），push 只走显式 git-receive-pack。 测试：Sentinel 允许 GET/拒绝 POST 裸 .git、helper 端到端裸路径 取凭证、组 gid 派生与回落、显式组落地 0750/0660。
This commit is contained in:
host committed
1 parent
2d12179b9a
commit
9f593d62ef
3 files changed
+165
-15
No files matched your search
+67
-13
@@ -14,7 +14,10 @@ socket 与 seed 文件）。它只做三件事：
|
||||
GITEA_TOKEN 持在内存里（cloud.chv.authd.CredentialVault），
|
||||
除此之外不落盘、不进日志；
|
||||
2. 在 Unix socket /run/chv-authd/authd.sock 上接受 git credential
|
||||
helper 的请求（SO_PEERCRED 只放行 root 与 chv 用户）；
|
||||
helper 的请求（SO_PEERCRED 只放行 root 与 chv 用户；socket
|
||||
用 group 权限——目录 0750、socket 0660、组为第一个非 root
|
||||
放行 uid 的主组，round-11 真机修复层 3，探针用的 0666
|
||||
不上生产）；
|
||||
3. 每次放凭证前先过 Sentinel 评估（cloud.chv.sentinel，主机/
|
||||
方法/路径/解析后 IP/SSRF），再按次释放（单次、300 秒 TTL），
|
||||
全程审计（审计里无值）。
|
||||
@@ -51,6 +54,46 @@ SEED_KEYS = frozenset({
|
||||
DEFAULT_ALLOWED_UIDS = (0, 1000)
|
||||
|
||||
|
||||
def _socket_group_gid(allowed_uids, socket_group=None):
|
||||
"""socket 共享组的 gid：socket_group 显式给时优先（int 即 gid，
|
||||
str 即组名）；否则取第一个非 root 放行 uid 的主组。解析不出
|
||||
（uid 无 passwd 条目、组名不存在）即 None——调用方回落
|
||||
root-only 权限（目录 0700、socket 0600），绝不把 socket 放给
|
||||
全员可读（round-11 真机修复层 3：探针用 0666，生产用 group
|
||||
权限——chv 在组内，目录 0750 + socket 0660 + chgrp）。"""
|
||||
import grp
|
||||
import pwd
|
||||
if socket_group is not None:
|
||||
if isinstance(socket_group, int):
|
||||
return socket_group
|
||||
try:
|
||||
return grp.getgrnam(socket_group).gr_gid
|
||||
except (KeyError, OverflowError):
|
||||
return None
|
||||
for uid in sorted(allowed_uids or ()):
|
||||
if uid == 0:
|
||||
continue
|
||||
try:
|
||||
return pwd.getpwuid(uid).pw_gid
|
||||
except (KeyError, OverflowError):
|
||||
continue
|
||||
return None
|
||||
|
||||
|
||||
def _set_group_perms(path, gid, mode):
|
||||
"""目录/socket 的组权限：先 chgrp（失败只放过，不中断启动），
|
||||
再 chmod。gid 为 None 时只 chmod（root-only 模式）。"""
|
||||
if gid is not None:
|
||||
try:
|
||||
os.chown(path, -1, gid)
|
||||
except OSError:
|
||||
pass
|
||||
try:
|
||||
os.chmod(path, mode)
|
||||
except OSError:
|
||||
pass
|
||||
|
||||
|
||||
def _load_seed(path):
|
||||
"""读 seed 文件（KEY=VALUE，每行一项）→ 白名单后的 dict。
|
||||
文件不存在即 FileNotFoundError（调用方 fail-fast，绝不带着
|
||||
@@ -87,13 +130,18 @@ def _operation_for_path(path):
|
||||
推断不到的一律拒绝）：
|
||||
- .../git-receive-pack → push（写）
|
||||
- .../git-upload-pack → pull（读）
|
||||
- .../info/refs → pull（读，clone 也走这条）"""
|
||||
- .../info/refs → pull（读，clone 也走这条）
|
||||
- 裸 .../ → pull（读；round-11 真机修复层 4：git 智能
|
||||
HTTP 的发现请求只发裸 .git 路径，裸路径一律当 pull——
|
||||
只读默认；push 只走显式的 git-receive-pack）"""
|
||||
if path.endswith(".git/git-receive-pack"):
|
||||
return "POST", "push"
|
||||
if path.endswith(".git/git-upload-pack"):
|
||||
return "POST", "pull"
|
||||
if path.endswith(".git/info/refs"):
|
||||
return "GET", "pull"
|
||||
if path.endswith(".git"):
|
||||
return "GET", "pull"
|
||||
return None, None
|
||||
|
||||
|
||||
@@ -227,7 +275,8 @@ class AuthdServer(socketserver.ThreadingUnixStreamServer):
|
||||
allow_reuse_address = False
|
||||
|
||||
def __init__(self, socket_path, vault, policy, gitea_user,
|
||||
allowed_uids, log_path, resolve=None):
|
||||
allowed_uids, log_path, resolve=None,
|
||||
socket_group=None):
|
||||
self.vault = vault
|
||||
self.policy = policy
|
||||
self.gitea_user = gitea_user
|
||||
@@ -236,20 +285,24 @@ class AuthdServer(socketserver.ThreadingUnixStreamServer):
|
||||
# 解析器可注入（测试用假解析器；不给时 Sentinel 用真实
|
||||
# getaddrinfo）。与执行器的 sentinel_resolver 同款口径。
|
||||
self.resolve = resolve
|
||||
# round-11 真机修复（层 3）：socket 用 group 权限。
|
||||
# gid 取 socket_group 显式值或第一个非 root 放行 uid 的
|
||||
# 主组；解析不出即 None，回落 root-only（0700/0600）。
|
||||
self.socket_gid = _socket_group_gid(allowed_uids, socket_group)
|
||||
directory = os.path.dirname(socket_path)
|
||||
if directory:
|
||||
os.makedirs(directory, exist_ok=True)
|
||||
try:
|
||||
os.chmod(directory, 0o700)
|
||||
except OSError:
|
||||
pass
|
||||
if self.socket_gid is not None:
|
||||
_set_group_perms(directory, self.socket_gid, 0o750)
|
||||
else:
|
||||
_set_group_perms(directory, None, 0o700)
|
||||
if os.path.exists(socket_path):
|
||||
os.unlink(socket_path)
|
||||
super().__init__(socket_path, AuthdHandler)
|
||||
try:
|
||||
os.chmod(socket_path, 0o600)
|
||||
except OSError:
|
||||
pass
|
||||
if self.socket_gid is not None:
|
||||
_set_group_perms(socket_path, self.socket_gid, 0o660)
|
||||
else:
|
||||
_set_group_perms(socket_path, None, 0o600)
|
||||
|
||||
def audit(self, record):
|
||||
_audit(self.log_path, record)
|
||||
@@ -260,7 +313,8 @@ def build_server(seed_path=DEFAULT_SEED_PATH,
|
||||
log_path=DEFAULT_LOG_PATH,
|
||||
lib_dir=DEFAULT_LIB_DIR,
|
||||
allowed_uids=None,
|
||||
resolve=None):
|
||||
resolve=None,
|
||||
socket_group=None):
|
||||
"""建服务（不启动）：读 seed → 入库 → 建策略 → 建 socket 服务。
|
||||
|
||||
seed 缺必填键（GITEA_URL/GITEA_USER/GITEA_TOKEN/SYNC_REPO）
|
||||
@@ -295,7 +349,7 @@ def build_server(seed_path=DEFAULT_SEED_PATH,
|
||||
if raw.strip() else list(DEFAULT_ALLOWED_UIDS)
|
||||
server = AuthdServer(socket_path, vault, policy,
|
||||
seed["GITEA_USER"], uids, log_path,
|
||||
resolve=resolve)
|
||||
resolve=resolve, socket_group=socket_group)
|
||||
return server
|
||||
|
||||
|
||||
|
||||
Reference in new issue
Block a user