鸿蒙3.1 基于Token的访问控制

已于 2023-10-09 14:51:54 修改
阅读量1.1k 收藏
点赞数 1
分类专栏： OpenHarmony 文章标签： linux 系统安全 鸿蒙系统
于 2023-08-17 22:14:22 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/w5678912345/article/details/132351958
版权

介绍

代码路径：security_access_token: ATM(AccessTokenManager)是OpenHarmony上基于AccessToken构建的统一的应用权限管理能力。

ATM(AccessTokenManager)是OpenHarmony上基于AccessToken构建的统一的应用权限管理能力。

应用的Accesstoken信息主要包括应用身份标识APPID、用户ID，应用分身索引、应用APL(Ability Privilege Level)等级、应用权限信息等。每个应用的Accestoken信息由一个32bits的设备内唯一标识符TokenID(Token identity)来标识。

ATM模块主要提供如下功能：

  • 提供基于TokenID的应用权限校验机制，应用访问敏感数据或者API时可以检查是否有对应的权限。
  • 提供基于TokenID的Accestoken信息查询，应用可以根据TokenID查询自身的APL等级等信息。

目录介绍

/base/security/access_token
├── frameworks                  # 框架层，基础功能代码存放目录
│   ├── accesstoken             # Accesstoken管理框架代码存放目录
│   ├── tokensync               # Accesstoken信息同步框架代码存放目录
│   └── common                  # 框架公共代码存放目录
├── interfaces                  # 接口层
│   └── innerkits               # 内部接口层
│       ├── accesstoken         # Accesstoken内部接口代码存放目录
│       ├── nativetoken         # nativetoken内部接口代码存放目录
│       └── tokensync           # Accesstoken信息同步内部接口代码存放目录
└── services                    # 服务层
    ├── accesstokenmanager      # Accesstoken管理服务代码存放目录
    └── tokensyncmanager        # Accesstoken信息同步服务代码存放目录

基础数据结构

HapTokenInfo

内存中保存token信息的结构，对应到数据库的hap_token_info_table表

class HapTokenInfo final {
public:
    ATokenAplEnum apl;
    char ver;
    int userID;
    std::string bundleName;
    int instIndex;
    std::string appID;
    std::string deviceID;
    AccessTokenID tokenID;
    AccessTokenAttr tokenAttr;
};

appid = 应用包名+证书hash

PermissionPolicySet

存储tokenid和对应权限状态的关系类

TokenID组成

基本类型，tokenid就是一个int型。

typedef unsigned int AccessTokenID;

tokenid主要是如下的四部分组成的

typedef struct {
    unsigned int tokenUniqueID : 20;
    unsigned int res : 7;
    unsigned int type : 2;
    unsigned int version : 3;
} AccessTokenIDInner;

数据库结构

hap_token_info_table表

主要存储应用的token信息

列名

类型

备注

token_id

integer

user_id

integer

bundle_name

text

inst_index

integer

app_id

text

device_id

text

apl

integer

token_version

integer

token_attr

integer

primary key ： token_id

native_token_info_table表

native服务的token信息

列名

类型

备注

token_id

integer

process_name

text

token_version

integer

token_attr

integer

dcap

text

apl

integer

primary key ： token_id

permission_definition_table表

权限定义表

列名

类型

备注

token_id

integer

permission_name

text

bundle_name

text

grant_mode

integer

available_level

integer

provision_enable

integer

distributed_scene_enable

integer

label

text

label_id

text

description

text

description_id

text

primary key ： token_id, permission_name

permission_state_table表

权限状态表

列名

类型

token_id

integer

permission_name

text

device_id

text

is_general

integer

grant_state

integer

grant_flag

integer

primary key ： token_id, permission_name, device_id

启动过程

整个启动过程，主要分为两部分。一部分是去数据库中加载动态的信息，还有一部分就是去系统定义的目录下加载静态的配置文件，静态配置文件主要是native service的token信息。

token的生成

本地应用

应用安装时生成

本地服务

服务自己注册，静态配置文件中读取

远程应用或服务

远程应用访问本地设备时，根据远程应用的设备id，以及远程过来附带的tokenid，进行关系绑定，生成本地的tokenid。

相关本地token和权限的关系，是通过同步机制，从来源设备同步应用权限得到的。

token同步过程

调用点1

分布式组件管理部件

分布式组件管理部件模块负责跨设备组件管理，提供访问和控制远程组件的能力，支持分布式场景下的应用协同。主要功能如下：

- 远程启动元能力：跨设备拉起远端设备上的指定元能力。

- 远程迁移元能力：将元能力跨设备迁移到远端设备。

- 远程绑定元能力：跨设备绑定远端设备上的指定元能力。

./distributedschedule/dmsfwk/services/dtbschedmgr/src/distributed_sched_permission.cpp:177:    uint32_t dAccessToken = AccessToken::AccessTokenKit::AllocLocalTokenID(

任务调度过程中，会存在检查权限的场景，该服务会先创建远程tokenid，然后再会检查权限。

数据结构

整个交互过程中，消息中会附带如下的信息

struct CallerInfo {
    int32_t uid = -1;
    int32_t pid = -1;
    int32_t callerType = CALLER_TYPE_NONE;
    std::string sourceDeviceId;
    int32_t duid = -1;
    std::string callerAppId;
    std::vector<std::string> bundleNames;
    int32_t dmsVersion = -1;
    uint32_t accessToken = 0;
};

StartAbilityFromRemote

远程启动应用的时候会去调用权限相关操作

//远程启动应用
int32_t DistributedSchedService::StartAbilityFromRemote(const OHOS::AAFwk::Want& want,
    const OHOS::AppExecFwk::AbilityInfo& abilityInfo, int32_t requestCode,
    const CallerInfo& callerInfo, const AccountInfo& accountInfo)
{
    std::string localDeviceId;
    std::string deviceId = want.GetElement().GetDeviceID();
    if (!GetLocalDeviceId(localDeviceId) ||
        !CheckDeviceIdFromRemote(localDeviceId, deviceId, callerInfo.sourceDeviceId)) {
        HILOGE("check deviceId failed");
        return INVALID_REMOTE_PARAMETERS_ERR;
    }
    //检查权限
    DistributedSchedPermission& permissionInstance = DistributedSchedPermission::GetInstance();
    ErrCode err = permissionInstance.CheckDPermission(want, callerInfo, accountInfo, abilityInfo, deviceId);
    if (err != ERR_OK) {
        HILOGE("CheckDPermission denied!!");
        return err;
    }
    err = AAFwk::AbilityManagerClient::GetInstance()->Connect();
    if (err != ERR_OK) {
        HILOGE("connect ability server failed %{public}d", err);
        return err;
    }
    std::vector<int> ids;
    ErrCode ret = OsAccountManager::QueryActiveOsAccountIds(ids);
    if (ret != ERR_OK || ids.empty()) {
        return INVALID_PARAMETERS_ERR;
    }
    err = AAFwk::AbilityManagerClient::GetInstance()->StartAbility(want, requestCode, ids[0]);
    if (err != ERR_OK) {
        HILOGE("StartAbility failed %{public}d", err);
    }
    return err;
}

StartAbilityByCallFromRemote


int32_t DistributedSchedService::StartAbilityByCallFromRemote(const OHOS::AAFwk::Want& want,
    const sptr<IRemoteObject>& connect, const CallerInfo& callerInfo, const AccountInfo& accountInfo)
{
    HILOGD("[PerformanceTest] DistributedSchedService StartAbilityByCallFromRemote begin");
    if (connect == nullptr) {
        HILOGE("StartAbilityByCallFromRemote connect is null");
        return INVALID_REMOTE_PARAMETERS_ERR;
    }
    std::string localDeviceId;
    std::string destinationDeviceId = want.GetElement().GetDeviceID();
    if (!GetLocalDeviceId(localDeviceId) ||
        !CheckDeviceIdFromRemote(localDeviceId, destinationDeviceId, callerInfo.sourceDeviceId)) {
        HILOGE("StartAbilityByCallFromRemote check deviceId failed");
        return INVALID_REMOTE_PARAMETERS_ERR;
    }

    DistributedSchedPermission& permissionInstance = DistributedSchedPermission::GetInstance();
    int32_t result = permissionInstance.CheckGetCallerPermission(want, callerInfo, accountInfo, localDeviceId);
    if (result != ERR_OK) {
        HILOGE("StartAbilityByCallFromRemote CheckDPermission denied!!");
        return result;
    }
    sptr<IRemoteObject> callbackWrapper;
    {
        std::lock_guard<std::mutex> autoLock(calleeLock_);
        auto itConnect = calleeMap_.find(connect);
        if (itConnect != calleeMap_.end()) {
            callbackWrapper = itConnect->second.callbackWrapper;
        } else {
            callbackWrapper = new AbilityConnectionWrapperStub(connect, localDeviceId);
        }
    }
    int32_t errCode = DistributedSchedAdapter::GetInstance().StartAbilityByCall(want, callbackWrapper, this);
    HILOGD("[PerformanceTest] StartAbilityByCallFromRemote end");
    if (errCode == ERR_OK) {
        {
            std::lock_guard<std::mutex> autoLock(calleeLock_);
            ConnectInfo connectInfo {callerInfo, callbackWrapper, want.GetElement()};
            calleeMap_.emplace(connect, connectInfo);
        }
        connect->AddDeathRecipient(callerDeathRecipient_);
    }
    return errCode;
}

ConnectAbilityFromRemote


int32_t DistributedSchedService::ConnectAbilityFromRemote(const OHOS::AAFwk::Want& want,
    const AppExecFwk::AbilityInfo& abilityInfo, const sptr<IRemoteObject>& connect,
    const CallerInfo& callerInfo, const AccountInfo& accountInfo)
{
    HILOGD("[PerformanceTest] DistributedSchedService ConnectAbilityFromRemote begin");
    if (connect == nullptr) {
        HILOGE("ConnectAbilityFromRemote connect is null");
        return INVALID_REMOTE_PARAMETERS_ERR;
    }
    HILOGD("ConnectAbilityFromRemote uid is %{public}d, pid is %{public}d, AccessTokenID is %{public}u",
        callerInfo.uid, callerInfo.pid, callerInfo.accessToken);
    std::string localDeviceId;
    std::string destinationDeviceId = want.GetElement().GetDeviceID();
    if (!GetLocalDeviceId(localDeviceId) ||
        !CheckDeviceIdFromRemote(localDeviceId, destinationDeviceId, callerInfo.sourceDeviceId)) {
        HILOGE("ConnectAbilityFromRemote check deviceId failed");
        return INVALID_REMOTE_PARAMETERS_ERR;
    }

    DistributedSchedPermission& permissionInstance = DistributedSchedPermission::GetInstance();
    int32_t result = permissionInstance.CheckDPermission(want, callerInfo, accountInfo, abilityInfo, localDeviceId);
    if (result != ERR_OK) {
        HILOGE("ConnectAbilityFromRemote CheckDPermission denied!!");
        return result;
    }

    HILOGD("ConnectAbilityFromRemote callerType is %{public}d", callerInfo.callerType);
    sptr<IRemoteObject> callbackWrapper = connect;
    std::map<sptr<IRemoteObject>, ConnectInfo>::iterator itConnect;
    if (callerInfo.callerType == CALLER_TYPE_HARMONY) {
        std::lock_guard<std::mutex> autoLock(connectLock_);
        itConnect = connectAbilityMap_.find(connect);
        if (itConnect != connectAbilityMap_.end()) {
            callbackWrapper = itConnect->second.callbackWrapper;
        } else {
            callbackWrapper = new AbilityConnectionWrapperStub(connect);
        }
    }
    int32_t errCode = DistributedSchedAdapter::GetInstance().ConnectAbility(want, callbackWrapper, this);
    HILOGD("[PerformanceTest] ConnectAbilityFromRemote end");
    if (errCode == ERR_OK) {
        std::lock_guard<std::mutex> autoLock(connectLock_);
        if (itConnect == connectAbilityMap_.end()) {
            ConnectInfo connectInfo {callerInfo, callbackWrapper};
            connectAbilityMap_.emplace(connect, connectInfo);
        }
    }
    return errCode;
}

权限检查过程

/**
 * @brief 检查权限
 * 
 * @param tokenID 
 * @param permissionName 
 * @return int 
 */
int PermissionManager::VerifyAccessToken(AccessTokenID tokenID, const std::string& permissionName)
{
    ACCESSTOKEN_LOG_INFO(LABEL, "%{public}s called, tokenID: 0x%{public}x, permissionName: %{public}s", __func__,
        tokenID, permissionName.c_str());
    //检查权限名是否合法
    if (!PermissionValidator::IsPermissionNameValid(permissionName)) {
        ACCESSTOKEN_LOG_ERROR(LABEL, "invalid params!");
        return PERMISSION_DENIED;
    }
    std::shared_ptr<HapTokenInfoInner> tokenInfoPtr =
        AccessTokenInfoManager::GetInstance().GetHapTokenInfoInner(tokenID);
    if (tokenInfoPtr == nullptr) {
        ACCESSTOKEN_LOG_ERROR(LABEL, "can not find tokenInfo!");
        return PERMISSION_DENIED;
    }

    //远程的应用，并且本地没有对应权限定义。直接拒绝
    if (!tokenInfoPtr->IsRemote() && !PermissionDefinitionCache::GetInstance().HasDefinition(permissionName)) {
        ACCESSTOKEN_LOG_ERROR(
            LABEL, "no definition for permission: %{public}s!", permissionName.c_str());
        return PERMISSION_DENIED;
    }
    std::shared_ptr<PermissionPolicySet> permPolicySet =
        AccessTokenInfoManager::GetInstance().GetHapPermissionPolicySet(tokenID);
    if (permPolicySet == nullptr) {
        ACCESSTOKEN_LOG_ERROR(LABEL, "invalid params!");
        return PERMISSION_DENIED;
    }

    //根据数据库中加载的授权信息进行权限状态的检查。
    return permPolicySet->VerifyPermissStatus(permissionName);
}

AccessTokenID使用

目前看到的tokenid是在binder里面使用的，原本的binder传输的是uid，目前鸿蒙系统中新增了tokenid的传输，目前可以直接从binder里面获取。

w5678912345
关注
专栏目录
从零开始的HarmonyOS Next开发指南：打造HarmonyOS NEXT元服务
一键难忘的博客
05-26 5094
DevEco Studio 4.0是一个集成开发环境（IDE），专门为开发者提供一站式的HarmonyOS应用和服务开发支持。以下是DevEco Studio 4.0的一些主要特点：高效智能代码编辑：支持多种语言，如ArkTS、JavaScript、C/C++等，提供代码高亮、智能补齐、错误检查、自动跳转、格式化、查找等功能，以提升代码编写的效率。低代码可视化开发：拥有丰富的UI界面编辑能力，支持自由拖拽组件和可视化数据绑定，能够快速预览效果，所见即所得。
基于STM32+华为云设计的智慧农业灌溉系统(2023升级版)
10-23 9623
本项目设计一种基于STM32的智慧农业监测系统。该系统能够检测空气温度、湿度、光强度和土壤湿度等关键指标，并自动调节浇水量，实现作物生长环境的精细化管理。同时，本项目还支持本地LCD屏幕数据显示和通过ESP8266上传数据到华为云物联网平台，同时搭建流媒体服务器实现摄像头远程监控。最重要的是，本项目将利用Qt开发Android手机APP，使用户可以远程查看监测情况，了解农作物生成情况。
鸿蒙（HarmonyOS）网络请求封装，以及token值的持久化存储（AppStorage）
m0_68716163的博客
04-09 1117
外部调用的话就是先导入request这个类，然后直接用类名去调用里面的静态方法以下是我用async，await转成了同步，当然也可以不转直接.then方法也可以，这个看需求。这里可能说的有点绕，所以我直接把那一串枚举截图下来了给大家参考，查看源码也是可以让自己的编程水平还有问题分析能力更上一层楼，这个也是我在一个视频博主那里学到的。网络封装有很多种封装法，这个看个人了，我的话比较习惯拦截器这种的，因为不管后面做什么认证或者一些其他的需求也可以加一些条件进行就可以达到效果了。
解决鸿蒙推送服务无法获取Token的问题
qq_14863717的博客
05-27 500
作为一名开发者，我在使用鸿蒙操作系统的推送服务时遇到了一个棘手的问题：无法通过方法获取到设备的推送Token，且日志中显示错误代码为。这个问题严重影响了我的应用的推送功能，因此我决定深入探究并解决它。
HarmonyOS开发：推送服务-获取Push Token
IPFlechazo的博客
07-24 1128
开发准备，包括配置应用签名、开通推送服务。 获取Push Token。
Nodejs入门 token校验
2303_76218115的博客
08-31 1130
token校验作为项目里的必要项，其重要性不言而喻，今天介绍一个在Node.js中备受推崇的神奇工具——jsonwebtoken一、token是什么jsonwebtoken是什么？在互联网世界中，Token是一种用于表示身份验证和授权的令牌。以为例，它生成的JWT就是一种Token。Token通常由服务器颁发给用户，并在用户进行身份验证后用于标识用户身份。当用户希望访问需要授权的资源时，Token就成为了一种凭证，用于证明用户的身份和权限。
oracle access manager token,OIDC User Manager Access Token Copier
weixin_28985215的博客
04-12 321
应用介绍Asimplechromeextensiontoone-clickcopyaccesstokensfromwebsitesusingoidcusermanagerlibrary.微信公众号获取用户信息 41001 access_token missing - 悬剑丶 - 博客园 1.检查AppID,AppSecret是否正确 2.验证access_to...
鸿蒙开发之状态持久化-PersistentStorage
begin_ing的博客
02-28 547
也就是，我们和访问AppStorage是一样的，只不过需要提前使用PersistentStorage来声明。只要初始化了数据，我们以后使用AppStorage就可以读取和设置，它会自动同步到我们的磁盘上。PersistentStorage.PersistProp(‘属性名’, 值)目前不支持复杂对象的持久化，如果你需要存储，你需要把它序列化成功字符串。如果我们想持久化的保留一些数据，应该使用。中的属性，所有属性访问都是对。将刚刚的token直接持久化存储。UI和业务逻辑不直接访问。中的更改会自动同步到。
【最新鸿蒙应用开发】——数据存储？持久化？
m0_68038853的博客
06-03 1136
用户首选项实现数据持久化（Perferences）用户首选项为应用提供Key-Value键值型的数据处理能力，支持应用持久化轻量级数据，并对其修改和查询。当用户希望有一个全局唯一存储的地方，可以采用用户首选项来进行存储。Preferences会将该数据缓存在内存中，当用户读取的时候，能够快速从内存中获取数据，当需要持久化时可以使用flush接口将内存中的数据写入持久化文件中。
【愚公系列】2024年01月 WPF+上位机+工业互联 096-WebApi（minimalApi、AOP、鉴权）
热门推荐
时光隧道
09-10 2万+
Web API是一种使用HTTP协议，向外部客户端（如浏览器、移动应用、桌面应用等）提供服务的技术，是一种RESTful（Representational State Transfer）架构的Web服务。Web API使用基于标准HTTP的协议，如HTTP请求、HTTP响应、HTTP状态代码、HTTP头和HTTP方法等，来处理请求和返回响应数据。Web API通常用于构建具有动态内容的Web应用程序或Web服务，例如基于客户端-服务器架构的移动应用程序、Web端的单页应用程序和其他类型的Web服务等。
【愚公系列】《AIGC辅助软件开发》011-AI辅助编写技术文档：技术文档
时光隧道
07-24 1万+
在当今快速发展的技术环境中，技术文档的编写变得愈加重要。无论是软件开发、产品设计，还是系统架构，清晰、准确的技术文档不仅能帮助团队成员快速理解项目，还能为用户提供必要的使用指导。然而，编写高质量的技术文档常常是一项繁琐且耗时的任务。随着人工智能技术的不断进步，AI工具的辅助作用逐渐显现，特别是在技术文档的编写过程中。借助AI，开发者和技术作家可以更高效地生成、编辑和维护文档，从而专注于更高层次的创作和思考。
计算机专业论文 （SpringBoot/SpringCloud+Vue+MySql）
最新发布
weixin_70367240的博客
07-24 1221
计算机专业本科论文，旅游网，springboot/springcloud+vue+mysql 需要源码dd
HAP框架之Token验证
程序猿_hw的博客
08-15 1322
闲来无事，总结这几天遇到的一个问题，以及解决过程。 这几天在做一个考核项目，拿到需求以后，那就敲代码啊。敲完一个修改功能的时候，测试的时候，突然跳出来这样一个提示框。 请求参数中Token不存在， what，什么鬼。 没办法，有问题那就去解决呗。 首先我就查看我自己的代码有没有写错，于是各种debugger;各种设断点调试。 好吧，数据正常传到后台去了。说明我的代码是没问题的。 那...
鸿蒙应用开发之使用用户首选项存储数据
m0_59926833的博客
04-25 518
鸿蒙应用开发之使用用户首选项存储数据
HarmonyOs开发基于请求进行token验证
m0_73047106的博客
12-14 1382
今天博主在对接接口时，发现我的后端是直接获取用户的token，无需用户在前端进行输入什么，这就有个难题，鸿蒙的应用如何获取token呢？博主的token验证流程是这样：用户在登录账号时后端会生成一个token，然后用户在后续的只需请求这个接口，接口就会基于这个token进行获取信息，完成用户识别和后续的操作。这里注意，注解需要删除token的验证，因为我们本地是没有存储token的，所以无法获取token，如果加上验证，就会导致异常。然后我们进行拼接请求，加上登录用户的token进行验证。
再谈鸿蒙Service
qq_34202054的博客
06-15 1015
鸿蒙由于分布式的原因，Service占的比重要远远比Android的Service比重要重的多。鸿蒙Service是Ability的一种，使用方法和Ability差不多，同样也分本地和远程，本文主要对Service的创建和使用作简单阐述。 ...
鸿蒙HarmonyOS学习笔记之Service Ability实现跨端通信
醉意丶千层梦的博客
02-11 1779
文章目录一、基本概念二、使用1.创建Service2.创建ConnectionHelper3.创建RemoteProxy4.启动service5.连接Service三、注意四、参考 一、基本概念 基于Service模板的Ability（以下简称“Service”）主要用于后台运行任务（如执行音乐播放、文件下载等），但不提供用户交互界面。Service可由其他应用或Ability启动，即使用户切换到其他应用，Service仍将在后台继续运行。 Service是单实例的。在一个设备上，相同的Service只会存
鸿蒙Ability学习
2401_84160310的博客
04-12 363
sh");return -1;return id;具体 orm 能力可以看这里：
理解基于Token的WEB后台认证机制
"基于Token的WEB后台认证机制是现代Web应用程序中常见的安全实践，它相比传统的HTTPBasicAuth、OAuth和CookieAuth提供了更多的优势。本文将深入探讨这些认证机制及其应用场景。 HTTPBasicAuth是最简单的认证方式，...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值