Istio Mixer Cache 工作原理与源码分析 part4-签名

点击查看目录

本文转载自敖小剑的博客

接前文,继续分析 Mixer Check Cache 的源码,这次的重点是签名算法,也就是 Referenced::Signature() 方法。

前情回顾:

  1. Referenced 保存的是 mixer adapter 使用的引用属性的一个组合,也就是前面例子中的 “a,b,c”或者“a,b,c不存在”
  2. Referenced 中有两个数据结构: std::vector<AttributeRef> absence_keys_std::vector<AttributeRef> exact_keys_,exact_keys_保存的是一定要出现的属性,absence_keys_中保存的是没有出现的属性

基本流程

我们来看详细源代码,具体在文件src/istio/mixerclient/referenced.cc中,代码的基本流程非常清晰:

bool Referenced::Signature(const Attributes &attributes,
                           const std::string &extra_key,
                           std::string *signature) const {
  // 第一步,先检查输入是否匹配保存的引用属性
  // 必须同时满足 absent key 和 exact key 的要求
  if (!CheckAbsentKeys(attributes) || !CheckExactKeys(attributes)) {
    return false;
  }

  // 发现匹配之后,才开始计算签名
  CalculateSignature(attributes, extra_key, signature);
  return true;
}

切记:请更新到 istio/proxy 仓库的最新代码,在 master 分支上才能看到这个版本。

这里的代码在此之前是存在性能问题的,我为此提交了一个改进方案,由于 0.8 版本发布前锁了 master 分支,因此这个 fix 的代码是在 0.8 版本发布之后才进的 master 分支。

详情请见:https://github.com/istio/proxy/issues/1531

引用属性匹配

先检查 absent key,这里要求请求中的属性,不能出现 absencekeys 保存的属性,否则就是不匹配:

bool Referenced::CheckAbsentKeys(const Attributes &attributes) const {
  const auto &attributes_map = attributes.attributes();
  for (std::size_t i = 0; i < absence_keys_.size(); ++i) {
    // 检查每个 absence_key
    const auto &key = absence_keys_[i];
    const auto it = attributes_map.find(key.name);
    if (it == attributes_map.end()) {
      // 如果在输入的属性中没有找到,就继续下一个
      continue;
    }

    // 如果找到了,则直接返回不匹配
    return false;
    // 实际代码中还有特别的 StringMap 类型的属性需要额外处理,简单起见我们忽略它
  }
  // 只有 absence_key 都没有在输入的属性中出现,才表示匹配
  return true;
}

再检查 exact keys,这里要求 exact keys 中保存的每一个属性,必须在请求中出现,否则就是不匹配:

bool Referenced::CheckExactKeys(const Attributes &attributes) const {
  const auto &attributes_map = attributes.attributes();
  for (std::size_t i = 0; i < exact_keys_.size(); ++i) {
    // 检查每个 exact_key
    const auto &key = exact_keys_[i];
    const auto it = attributes_map.find(key.name);
    // 如果没有在请求中出现就返回不匹配
    if (it == attributes_map.end()) {
      return false;
    }
	// 实际代码中还有特别的 StringMap 类型的属性需要额外处理,简单起见我们忽略它
    }
  }
  // 只有 exact_key 都在输入的属性中出现,才表示匹配
  return true;
}

简单说,引用属性匹配的要求就是:exact key 都必须出现,absence key 都不能出现。

输入 exact=“a,b,c”,absent=“” exact=“a,b”,absent=“c”
“a=1,b=2,c=3,e=4,f=5” Yes No
“a=1,b=2,e=4,f=5” No Yes

计算签名

在 exact key 和 absent key 检查通过之后,就意味着请求中的属性满足当前 Referenced 的匹配要求。

下一步就可以进行签名计算了,CalculateSignature() 方法的参数中 attributes 是输入的所有属性,extra_key 这个参数目前没有使用,忽略即可:

void Referenced::CalculateSignature(const Attributes &attributes,
                                    const std::string &extra_key,
                                    std::string *signature) const {
  const auto &attributes_map = attributes.attributes();

  utils::MD5 hasher;
  // 游历 exact_keys_ 中的每个属性
  for (std::size_t i = 0; i < exact_keys_.size(); ++i) {
    const auto &key = exact_keys_[i];
    // 在输入的属性中通过属性名找到包含值的属性
    const auto it = attributes_map.find(key.name);

    hasher.Update(it->first);
    hasher.Update(kDelimiter, kDelimiterLength);

    // 根据属性值的不同类型,调用 hasher.Update() 方法进行计算
    const Attributes_AttributeValue &value = it->second;
    switch (value.value_case()) {
      case Attributes_AttributeValue::kStringValue:
        hasher.Update(value.string_value());
        break;
      ......// 忽略其他类型的处理代码
      case Attributes_AttributeValue::VALUE_NOT_SET:
        break;
    }
    hasher.Update(kDelimiter, kDelimiterLength);
  }
  hasher.Update(extra_key);

  // 完成签名计算的最后一步,得到签名
  *signature = hasher.Digest();
}

即 CalculateSignature() 方法会将 exactkeys 指定的请求属性进行签名,注意只对 exactkeys 的属性进行签名,absent key 反正没有出现自然无需也无法对它们进行计算。

形象起见,以我们前面介绍基础概念和工作原理时的例子做讲解,假设 referenced_map 保存的引用属性组合为 {“k1”: “a,b,c”, “k2”: “a,b,c不存在” }

请求 和请求匹配的引用属性 进行签名计算的实际属性值
“a=1,b=2,c=3,e=4,f=5” exact=“a,b,c”, absent=“” a=1,b=2,c=3
“a=1,b=2,e=4,f=5” exact=“a,b”, absent=“c” a=1,b=2

总结

签名算法的关键在于需要先匹配 exact key 和 absent key,然后再计算。和主流程代码一样,只要理解了引用属性和 absent key 的概念,就容易理解了。

敖小剑

敖小剑

微软

编辑本页