Zammad: बेसिक ऑथेंटिकेशन के साथ HTTP 401 रिस्पॉन्स के कारण समस्याएँ उत्पन्न होती हैं

कृपया अपनी सटीक स्थापना जानकारी रखने के लिए अपना पहला लेख अपडेट करें - "कोई भी" इस बिंदु पर वास्तव में उपयुक्त नहीं है - क्षमा करें। :)

इसके अलावा, कृपया अपना पूरा वेबसर्वर कॉन्फ़िगरेशन प्रदान करें (और हमें बताएं कि आप किसका उपयोग कर रहे हैं)। अभी यह एक तकनीकी प्रश्न की तरह महक रहा है, लेकिन मैं पूरी तरह सुनिश्चित करना चाहता हूं। हालाँकि, इसके लिए मुझे सब कुछ चाहिए। ;)

धन्यवाद।

फिर से नमस्कार,
मैंने मुद्दा विवरण अपडेट किया - इसके प्रारंभिक अभाव के लिए खेद है!
सबसे बेहतर

अद्यतन के लिए धन्यवाद। आपके वेबसर्वर का कॉन्फिगरेशन मूलभूत डिफॉल्ट द्वारा बढ़ाया गया हमारा डिफॉल्ट कॉन्फ़िगरेशन है? क्या आप उस वीएचएस विन्यास को भी प्रदान करना चाहेंगे? बस मुझे यकीन है कि मैं कुछ याद नहीं कर रहा हूँ।

धन्यवाद!

हां, यह मूल रूप से सिर्फ Zammad Default config + Basic Auth है। यहाँ vhost विन्यास है:

auth_basic 'Restricted: general basic auth';
auth_basic_user_file /etc/.htpasswd.d/zammad;
location /ws {
    proxy_pass  http://zammad_ws;
    proxy_redirect  off;
    proxy_hide_header X-Powered-By;
    proxy_set_header  Host              $host;
    proxy_set_header  X-Forwarded-For   $proxy_add_x_forwarded_for;
    proxy_set_header  X-Forwarded-Proto $scheme;
    proxy_set_header  X-Real-IP         $remote_addr;
    proxy_set_header  X-Forwarded-Host  $host;
    proxy_set_header  X-Forwarded-Port  443;
    proxy_set_header CLIENT_IP $remote_addr;
    proxy_read_timeout 86400;
    proxy_http_version 1.1;
    proxy_set_header  Upgrade           $http_upgrade;
    proxy_set_header  Connection        "upgrade";
    proxy_max_temp_file_size  0;
    error_page 502 503 504 =503 @fallback;
}
location / { 
    try_files $uri @proxy;
}
location <strong i="6">@proxy</strong> { 
    proxy_pass  http://zammad;
    proxy_redirect  off;
    proxy_hide_header X-Powered-By;
    proxy_set_header  Host              $host;
    proxy_set_header  X-Forwarded-For   $proxy_add_x_forwarded_for;
    proxy_set_header  X-Forwarded-Proto https;
    proxy_set_header  X-Real-IP         $remote_addr;
    proxy_set_header  X-Forwarded-Host  $host;
    proxy_set_header  X-Forwarded-Port  $server_port;
    proxy_http_version 1.1;
    proxy_set_header  Upgrade           $http_upgrade;
    proxy_set_header  Connection        "upgrade";
    proxy_max_temp_file_size  0;
    proxy_set_header CLIENT_IP $remote_addr;
    error_page 502 503 504 =503 @fallback;
}

हमने फिर से देखा।
हमारा अनुमान (जैसा कि माइकल ने लिखा है) एक HTTP 401 (जो कि ब्राउज़र को विश्वास दिलाता है कि दिए गए मूल अधिकार क्रेडेंशियल गलत हैं) को वापस करने के लिए नहीं होगा, लेकिन HTTP 403 को मना करने के लिए वापस लौटना होगा।

अगर मैंने इसे सही तरीके से देखा, तो इसका मतलब होगा

ऐप / कंट्रोलर / एप्लिकेशन_कंट्रोलर / हैंडल_इरर्स.आरबी # एल 39
respond_to_exception(e, :unauthorized)

के साथ प्रतिस्थापित किया जाना चाहिए
respond_to_exception(e, :forbidden)

RFC का कहना है कि ब्राउज़रों को अलग तरह से व्यवहार करना चाहिए (https://tools.ietf.org/html/rfc7231#section-6.5.3): "यदि प्रमाणीकरण क्रेडेंशियल्स अनुरोध में प्रदान किए गए थे, तो सर्वर उन्हें एक्सेस देने के लिए अपर्याप्त मानता है। क्लाइंट SHOULD समान क्रेडेंशियल्स के साथ अनुरोध को स्वचालित रूप से दोहराएं नहीं। "

हालांकि, पिछले सप्ताह एक अन्य परियोजना में हमारे पास एक ही मुद्दा था और 403 कार्य।
यदि आपको 403 लौटाने में अन्य समस्याएं नहीं दिखती हैं, तो हम एक पीआर जारी कर सकते हैं।

सबसे बेहतर

इतनी देर लेने के लिए क्षमा करें।
कृपया ध्यान दें कि यह ज़माद संबंधी समस्या (आवेदन आधारित) नहीं है, बल्कि आपके नगीने पर एक "बैकएंड मुद्दा" है।

मूल प्रमाणीकरण के लिए प्रमाणीकरण अनुरोध कभी भी आवेदन के रूप में Zammad तक नहीं पहुंचता है, लेकिन पहले से ही समाप्त होता है (और आपके nginx या आपके द्वारा उपयोग किए जाने वाले किसी अन्य वेबसर्वर द्वारा जांचा जाता है)।

इस प्रकार, स्रोत कोड बदलना मेरी राय में आपकी समस्या का समाधान नहीं है।
तकनीकी रूप से एक 401 अनधिकृत है जो मैं बता सकता हूं (भले ही मैं समझता हूं कि आप 403 चाहते हैं) से सही है।

यह सभी देखें:
https://serverfault.com/questions/616770/nginx-auth-basic-401-htpassiond

वैसे:
सिर्फ दो बार जांच करने के लिए मैंने पूरी तरह से Zammad प्रॉक्सी भागों को टिप्पणी की ताकि Zammad का बैकएंड उत्तर न दे सके । 401 के साथ परिणाम एक ही है और इस तरह nginx की गलती है। :)

इसे बंद करना बग नहीं बल्कि तकनीकी सवाल है।

हाय @ प्रार्थना ,
इस मामले की तलाश के लिए धन्यवाद।

जबकि मैं समझता हूं कि यह मुद्दा ज़माद एप्लिकेशन के लिए आउट-ऑफ-स्कोप लगता है, फिर भी मुझे लगता है कि यह इसके कारण होता है (और नगनिक्स नहीं)। मैं क्यों समझाने की कोशिश करूँगा:

मान लेते हैं कि हमारा ngnix मूल प्रमाणीकरण का उपयोग करने के लिए _not_ कॉन्फ़िगर किया गया है। इस मामले में, हम दोनों सहमत हैं कि ज़माद एप्लिकेशन ("नगनिक्स के पीछे") ठीक काम करता है।

अब, हम अपने ngnix के ऊपर बताए गए कॉन्फ़िगरेशन को जोड़कर मूल स्थिति को सक्षम करते हैं। कृपया ध्यान दें कि अभी भी, लगभग सब कुछ अभी भी उम्मीद के मुताबिक काम करता है - जिसमें प्रमाणीकरण (मूल और ज़माद लॉगिन) और ज़म्माद आवेदन दोनों शामिल हैं।

जिस समस्या पर मैंने पहले वर्णन करने की कोशिश की, वह कभी-कभी बाद में होती है (Zammad द्वारा!) जब एप्लिकेशन किसी पृष्ठ को कोड कोड 401 के साथ प्रस्तुत करता है। इस मामले में, _any webserver_ सक्षम बुनियादी प्रमाणीकरण के साथ आपको लॉग आउट करने के लिए मजबूर किया जाता है।

मैं इस बात से सहमत हूँ कि इस मामले में शब्दशः 401 ध्वनियाँ "उचित" हैं। तकनीकी रूप से बोलना, यह मूल प्रमाणीकरण के साथ अपरिहार्य मुद्दों का कारण बनता है और इसे 403 के साथ प्रतिस्थापित किया जाना चाहिए।
कृपया इस समस्या को फिर से खोलें क्योंकि यह कई उपयोगकर्ताओं के लिए Zammad अनुप्रयोग के UX को भी प्रभावित कर सकता है।

@thorsteneckel इस पर आपकी क्या राय है?

हे लोगों! बहुमूल्य जानकारी और विवरण के लिए धन्यवाद। मैंने RFC को पढ़ा और अभी भी 401 और 403 के बीच के अंतर के बारे में थोड़ा उलझन में था। हालांकि, मुझे स्टैकऑवरफ्लो में यह शानदार स्पष्टीकरण मिला। उद्धरण:

प्रमाणीकरण त्रुटियों के लिए HTTP स्थिति कोड 401 अनधिकृत के साथ एक समस्या है। और यह सिर्फ यह है: यह प्रमाणीकरण के लिए है, प्राधिकरण नहीं।

जो इसे मुद्दे पर लाता है। Zammad authorization त्रुटियों के लिए 401 का उपयोग करता है। यह तकनीकी रूप से गलत है और इसलिए बग है। मैं इस मुद्दे को फिर से खोलूंगा।

हालांकि, हमें प्रभाव की जांच करने की आवश्यकता है। मुझे लगता है कि यह सभी कार्यान्वयन और एपीआई उपभोक्ताओं के कारण एक ब्रेकिंग परिवर्तन है।
मेरी वर्तमान योजना Zammad 3.4 के साथ 401 authorization को नरम करने के लिए है, इसे 3.5 (या 3.6) के साथ कठोर रूप से चित्रित करें और 403 पर स्विच करें।
हमें आंतरिक रूप से इस पर चर्चा करने की आवश्यकता है।

आगे इस पर किसी को विचार?

वो बड़ी खुशखबरी हैं! मुझे अच्छा लगता है।

आपको लूप में रखने के लिए: हम इसे आगामी 4.0 रिलीज के साथ लागू करेंगे।

आंतरिक कार्यान्वयन प्रयोजनों के लिए: https://thoughtbot.com/blog/forbidden-kisses-http-fluency-in-clearance

ऊपर दिए गए कमिट के साथ फिक्स्ड। हमने मौका लिया और 401 त्रुटियों के कुछ संदेशों में सुधार किया लेकिन मूल रूप से केवल एक चीज जो हमने बदली वह 403 Forbidden में गैर-प्रमाणीकरण त्रुटियां।

अब से लगभग 30 मिनट में आप नवीनतम develop पैकेज के साथ इसका परीक्षण कर सकते हैं। कृपया ध्यान रखें कि यह एक कार्यशील शाखा है और स्थिर नहीं है। इसलिए बैकअप लेना सुनिश्चित करें और सबसे खराब उम्मीद करें :) आपकी प्रतिक्रिया सुनने के लिए उत्सुक हैं!