一个简单的MariaDB认证插件demo

Posted 2020-12-28 demodashi

代码地址如下：
http://www.demodashi.com/demo/13076.html

一、前言

众所周知（其实可能很多人不知道）MariaDB支持插件认证。在MariaDB中新建用户，常见的语句是：

CREATE USER ‘username‘@‘host‘ IDENTIFIED BY ‘password‘;

这样创建的用户，登录时的认证方式是密码。其实创建用户的语句还可以是：

CREATE USER ‘username‘@‘host‘ IDENTIFIED VIA ‘pluginname‘ USING ‘authstring‘;

这样创建的用户，登录时的认证方式由插件决定。

本文展示了编写一个简单的MariaDB认证插件的全过程。实现的认证机制是用户输入正确的姓名学号即可登录。显然这一认证机制毫无安全性可言，本文重点在于展示插件编写过程。

本文内容基于MariaDB-10.1.8，操作系统是Ubuntu12.04。假设已经安装好了数据库。

二、基本原理

一个认证插件分为两部分，服务器侧和客户端侧，两者配合，才能完成整个认证过程。最常见的认证情景是服务器侧提问，客户端侧回答。

MariaDB提供了一个通用的客户端侧“dialog”，该客户端侧的功能是接收服务器侧的问题，将问题显示在终端上，并在终端上读取待登录用户的回答，之后将回答发送给服务器侧。它支持不限个数的问答，还支持普通问题和密码问题两种问题，普通问题在待登录用户输入回答时是有回显的，密码问题在待登录用户输入回答时是没有回显的。由于最后一个问题需要特殊处理，所以实际上有四种类型的问题。问题字符串的第一个字节是问题类型，宏定义如下：

/* mysql/auth_dialog_client.h */
#define ORDINARY_QUESTION       "2"
#define LAST_QUESTION           "3"
#define PASSWORD_QUESTION       "4"
#define LAST_PASSWORD           "5"

由于我们想要编写一个简单的认证插件，所以简单起见，客户端侧就使用“dialog”，完全满足要求。这样，我们便只用编写服务器侧部分。

服务器侧部分要做的事情便是与客户端侧的“dialog”通讯，读取输入的姓名学号进行验证。具体实现见下节。

三、编写代码

1、套路部分

认证插件的套路如下：

#include <string.h>
#include <stdio.h>
#include <stdlib.h>
#include <mysql/plugin_auth.h>
#include <mysql/auth_dialog_client.h>

static int school_number_auth(MYSQL_PLUGIN_VIO *vio, MYSQL_SERVER_AUTH_INFO *info)
{
    /* 该函数是实际上进行认证的地方，
    认证通过返回CR_OK，
    认证失败返回CR_ERROR; */
}

static struct st_mysql_auth my_auth_plugin=
{
    MYSQL_AUTHENTICATION_INTERFACE_VERSION, // 插件的接口版本号
    "dialog", // 客户端侧处理函数，我们直接使用了“dialog”，也可以自定义
    school_number_auth // 服务器侧处理函数
};

mysql_declare_plugin(dialog)
{
    MYSQL_AUTHENTICATION_PLUGIN, // 插件类型
    &my_auth_plugin, // 插件结构体指针
    "school_number", // 插件名
    "Werner", // 作者
    "A simple MariaDB auth plugin", // 描述
    PLUGIN_LICENSE_GPL, // 许可证书
    NULL,
    NULL,
    0x0100,
    NULL,
    NULL,
    NULL,
    0,
}
mysql_declare_plugin_end;

mysql_declare_plugin声明了一个插件，其中写明了插件名、插件类型、作者、描述和许可证书等信息，
最重要的是插件结构体指针“&my_auth_plugin”。

插件结构体指针“&my_auth_plugin”指向插件结构体“my_auth_plugin”，该结构体中写明了客户端侧处理函数和服务器侧处理函数。在我们编写的插件中，客户端侧处理函数直接写字符串"dialog"，表示使用MariaDB提供的通用客户端侧“dialog”，服务器侧处理函数school_number_auth是实际上进行认证的地方，认证通过返回CR_OK，认证失败返回CR_ERROR。CR_OK和CR_ERROR宏定义如下：

/* mysql/plugin_auth_common.h */
#define CR_ERROR 0
#define CR_OK -1

我们只需要完善函数school_number_auth即可。

2、认证部分

在这一小节中，我们将完善函数school_number_auth。

首先看该函数的两个参数“MYSQL_PLUGIN_VIO *vio”和“MYSQL_SERVER_AUTH_INFO *info”。

“MYSQL_PLUGIN_VIO”中的“VIO”的含义是虚拟输入输出，它的定义如下所示：

/* mysql/plugin_auth.h.pp */
typedef struct st_plugin_vio
{
    int (*read_packet)(struct st_plugin_vio *vio,
    unsigned char **buf);
    int (*write_packet)(struct st_plugin_vio *vio,
    const unsigned char *packet,
    int packet_len);
    void (*info)(struct st_plugin_vio *vio, struct st_plugin_vio_info *info);
} MYSQL_PLUGIN_VIO;

可以看到它是一个结构体，成员都是函数指针。

顾名思义，函数*read_packet是虚拟的读，从vio中读取以“”结尾的字符串，返回读取到的字符串长度。这个读操作是阻塞读。

*write_packet是虚拟的写，向vio中写入一个字符串，需要指定写入长度。同样，写操作是阻塞写。

“MYSQL_SERVER_AUTH_INFO”的定义如下：

/* mysql/plugin_auth.h.pp */
typedef struct st_mysql_server_auth_info
{
    char *user_name; // 客户端发送的用户名
    unsigned int user_name_length; // 客户端发送的用户名长度
    const char *auth_string; // 在mysql.user表中记录的相应账户的authentication_string
    unsigned long auth_string_length; // authentication_string长度
    char authenticated_as[512 +1]; // 代理用户名，传入时为user_name，可设置
    char external_user[512 +1]; // 系统变量external_user显示的值，待设置
    int password_used; // 是否使用密码，待设置
    const char *host_or_ip; // 主机或IP
    unsigned int host_or_ip_length; // 主机或IP的长度
} MYSQL_SERVER_AUTH_INFO;

由上述定义可知在“MYSQL_SERVER_AUTH_INFO”中可以取到“user_name”和“auth_string”这样的关键字符串。

“password_used”的含义是“是否使用密码”，当认证出错时，报错信息的后面有“Password used: Yes/No”，显示“Yes”还是“No”就由“password_used”决定。默认为“No”，若想保存信息中显示“Yes”，可在school_number_auth函数中设置“password_used”，代码片段如下：

info->password_used= PASSWORD_USED_YES;

明白传入参数的含义后很容易就可以写出school_number_auth函数，其内容如下：

static int school_number_auth(MYSQL_PLUGIN_VIO *vio, MYSQL_SERVER_AUTH_INFO *info)
{
    int pkt_len;
    unsigned char *pkt;

    if (vio->write_packet(vio, (const unsigned char *) ORDINARY_QUESTION "Please enter your name: ", 26))
        return CR_ERROR;

    if ((pkt_len= vio->read_packet(vio, &pkt)) < 0)
        return CR_ERROR;

    if (strcmp((const char *) pkt, info->user_name))
        return CR_ERROR;

    if (vio->write_packet(vio, (const unsigned char *) LAST_QUESTION "Please enter your school number: ", 35))
        return CR_ERROR;

    if ((pkt_len= vio->read_packet(vio, &pkt)) < 0)
        return CR_ERROR;

    if (strcmp((const char *) pkt, info->auth_string))
        return CR_ERROR;

    return CR_OK;
}

至此，我们就完成了认证插件的代码编写，将其保存到文件my_auth_plugin.c中，然后进入到下一节。

四、编译安装

1、编译

插件的代码写好后按如下命令编译：

gcc $(mysql_config --cflags) -shared -fPIC -DMYSQL_DYNAMIC_PLUGIN -o my_auth_plugin.so my_auth_plugin.c

参数“-DMYSQL_DYNAMIC_PLUGIN”是必不可少的，否则编译的时候不会报错，但在MariaDB中执行“INSTALL PLUGIN”时会报如下错误：

ERROR 1127 (HY000): Can‘t find symbol ‘_mysql_plugin_interface_version_‘ in library

另外一种常见的错误是找不到头文件：

#include <mysql/plugin_auth.h>
#include <mysql/auth_dialog_client.h>

解决方法是安装相关开发包引入需要的头文件，命令是：

sudo rpm -ivh MariaDB-devel-5.2.9-102.el5.x86_64.rpm

或

sudo apt-get install libmariadbclient-dev

其实不执行上述命令，将MariaDB安装路径下的inculde目录加入到gcc的头文件搜索路径中也可以解决头文件缺失问题。

编译成功后得到my_auth_plugin.so。

2、复制

编译得到.so文件后需要将.so文件复制到MariaDB的插件目录中。进入MariaDB，用如下语句查询插件目录：

MariaDB [(none)]> SHOW VARIABLES LIKE ‘plugin_dir‘;
+---------------+------------------------------+
| Variable_name | Value                        |
+---------------+------------------------------+
| plugin_dir    | /usr/local/mysql/lib/plugin/ |
+---------------+------------------------------+
1 row in set (0.00 sec)

将my_auth_plugin.so复制到MariaDB的插件目录中：

sudo cp my_auth_plugin.so /usr/local/mysql/lib/plugin/

复制完成后最好修改my_auth_plugin.so的所有者为运行MariaDB的用户，该用户名一般是mysql，命令如下：

sudo chown mysql /usr/local/mysql/lib/plugin/my_auth_plugin.so

3、安装

只是将.so文件复制到MariaDB的插件目录中还不够，还需要在MariaDB中安装插件，语句如下：

MariaDB [(none)]> INSTALL PLUGIN school_number SONAME ‘my_auth_plugin.so‘;
Query OK, 0 rows affected (0.00 sec)

“school_number”是插件名，定义在mysql_declare_plugin中，my_auth_plugin.so是.so文件名，不要混淆。

有安装就有卸载，如何卸载呢？语句如下：

MariaDB [(none)]> UNINSTALL PLUGIN school_number;
Query OK, 0 rows affected (0.00 sec)

先不要执行卸载语句，或是卸载后重新安装，后面还要用到这个插件。

五、使用插件

先创建一个使用该插件认证登录的用户，语句如下：

MariaDB [(none)]> CREATE USER ‘werner‘@‘localhost‘ IDENTIFIED VIA ‘school_number‘ USING ‘M201434212‘;
Query OK, 0 rows affected (0.00 sec)

退出MariaDB后以werner用户登录，可以看到确实使用了插件认证方式，具体过程如下图所示。

六、项目文件目录截图

一个简单的MariaDB认证插件demo

代码地址如下：
http://www.demodashi.com/demo/13076.html

注：本文著作权归作者，由demo大师代发，拒绝转载，转载需要作者授权