Repository navigation
Kimlik Dogrulama
English · Türkçe · Languages / Diller
Kapsam: JSON API Forge 0.5.1 · İnceleme: 17 Eylül 2026 · Dil: Türkçe
| Kimlik | Nereye gider? | Amaç |
|---|---|---|
| Proje API key | Varsayılan X-API-Key
|
Bir uygulamanın HTTP API'si |
| Proje bootstrap key | Aynı header; ilk kurulumda | İlk kalıcı anahtarı üretmek |
| Uygulama JWT | Authorization: Bearer … |
Açıkça etkin JWT kimliği |
| Operatör token |
X-Forge-Operator-Token veya operator Bearer |
Süreç metrics ve ayrıntılı readiness |
| Editor setup token | Founder kurulumu | Bir defalık yönetim hesabı |
| Editor session | Control plane Bearer | Ekip ve doküman yönetimi |
Bir proje admin anahtarı Editör hesabı değildir; operatör token da proje CRUD izni vermez. Tek sırrı bütün katmanlarda kullanmayın.
bootstrap_enabled varsayılanı false'tur. CLI başlangıç projesi bunu açıkça açar ve anahtarı env'den alır. bootstrap_one_time: true ile ilk başarılı POST <prefix>/admin/api-keys, bootstrap'ı aynı işlemde tüketir. İlk oluşturulan anahtarın yönetim işlerinizi sürdürecek yetkilere sahip olduğundan emin olun.
Anahtar oluşturma body alanları name, roles, permissions, tenant_id, süre ve rate bütçeleridir. Ham api_key oluşturma yanıtında bir kez döner. Daha sonra listelemek hash'ten eski ham değeri geri getirmez.
Kalıcı yönetici anahtarıyla uygulama istemcilerine dar kapsamlı anahtarlar verin. GET /admin/api-keys liste, DELETE /admin/api-keys/{key_id} iptal içindir. İzinler sırasıyla admin.keys.create, admin.keys.list, admin.keys.revoke olur.
Alt credential oluşturmak, yetki yükseltme yolu değildir. Parent'ın rol/izin, tenant, süre, rate bütçesi ve subject sınırları uygulanır. Kontrolsüz delegation/impersonation yalnız ilgili açık yüksek güven izinleriyle mümkündür. admin.keys.create izni tek başına sınırsız admin üretme izni olarak yorumlanmamalıdır.
security.jwt_enabled=true, jwt_provider="local_hs256" ve güçlü jwt_secret gerekir. Yetkili çağıran admin.jwt.issue ile /admin/jwt üzerinden token üretebilir. Token expiry'si ve principal/claim doğrulamaları uygulanır. API key iptali ile daha önce üretilmiş her JWT'nin kendiliğinden iptal olacağını varsaymayın; kısa ömür ve açık rotasyon politikası kullanın.
jwt_provider="jwks" için URL, issuer, audience, izinli asimetrik algoritmalar ve subject/role/permission/tenant/project claim yolları açıkça ayarlanır. Varsayılan jwt_require_project_claim=truedir. Role/permission/tenant claim'lerine güven varsayılan olarak kapalıdır; yalnız kimlik sağlayıcınızın güvenilir biçimde yönettiği claim'leri açın.
Harici sağlayıcıdan geçerli token alınması Forge'da admin izni verilmesi anlamına gelmez. PostgreSQL bağlantısı ve satır politikaları da kimlik sağlayıcıdan ayrı katmandır.
v0.5.1 JWKS istemcisi HTTPS, boyut/timeout sınırı, asimetrik algoritma kontrolü, private-network/DNS-rebinding koruması ve bounded cache uygular. kid değişimi cache yenilemeyi tetikleyebilir. jwks_allow_private_networks veya jwks_allow_insecure_http gibi uyumluluk anahtarları güven sınırını değiştirir; bunları bağlantı hatasını susturmak için açmayın.
API key metadata cache varsayılan TTL'si 2 saniyedir, 0 ile kapatılabilir. Aynı worker create/revoke işlemini hemen temizler; diğer worker'larda görünürlük TTL ile sınırlanır. Anında bütün worker iptali gerektiren bir iş akışını bu davranışa göre tasarlayın.
Query-string API key seçenekleri varsayılan olarak kapalıdır. URL'ler browser geçmişi, referrer ve proxy loglarında kalabileceğinden header tercih edin. Ayrıntılı model: Güvenlik referansı.
Bu sayfa aşağıdaki sabit commitlerdeki davranışı açıklar. Yeni bir sürümde aynı davranışın sürdüğünü varsaymayın.
main/framework/security.pymain/framework/api_models.pymain/framework/config.pymain/docs/35-Credential-Delegation-JWT-and-Operator-Trust.md