SQL requests authorization

На данный момент пользовательские запросы никак не авторизуются. Гранта на функцию pico.sql достаточно, чтобы делать что угодно с любыми спейсами. В рамках данного тикета необходимо проверять гранты на отдельные спейсы тоже.

added 1 deleted label

marked this issue as related to picodata#280 (closed)

marked this issue as related to picodata#339 (closed)

changed the description

Роутер:

1. Проверка доступа на чтение к системным спейсам у пользователя.

Сторадж:

1. Проверка доступа на чтение к системным спейсам у пользователя.
2. DQL: проверка чтения всех спейсов в плане.
3. DML: проверка модификации целевого спейса и чтения для остальных.
4. DDL: проверка прав на создание или удаление спейса у пользователя.

changed milestone to %2023, Q3

Есть опция box.schema.func.create({setuid = true}). Из документации я так и не понял в какую сторону она работает, но видимо нам нужно что-то похожее. Или box.session.su.

• https://www.tarantool.io/en/doc/latest/reference/reference_lua/box_schema/func_create/
• https://www.tarantool.io/en/doc/latest/reference/reference_lua/box_session/su/

Из документации я так и не понял в какую сторону она работает

Не в ту, что нам надо:

For a binary-port connection invoking a stored function with the CALL command – if the SETUID property is enabled for the function, Tarantool temporarily replaces the current user with the function’s creator, with all the creator’s privileges, during function execution.

А, подставляет создателя вместо текущего пользователя. А создатель у нас admin. Значит остается box.session.su.

closed

reopened

assigned to @darthunix

added in-progress label

mentioned in issue picodata#356 (closed)

The issue is blocked by: picodata#355 (closed) and picodata#356 (closed)

Branch: https://git.picodata.io/picodata/picodata/picodata/-/tree/auth_priv

mentioned in merge request picodata/tarantool!101

changed milestone to %2023, Q4

mentioned in merge request picodata/tarantool!122

mentioned in merge request picodata!693 (merged)

added ACL label

removed in-progress label

added in-progress label

mentioned in merge request picodata!727 (merged)

closed with merge request picodata!727 (merged)