← Back to branch summary

~drizzle-trunk/drizzle/development

« back to all changes in this revision

Viewing changes to drizzled/plugin/authorization.cc

  • Committer: Brian Aker
  • Date: 2010-03-19 01:45:39 UTC
  • mto: This revision was merged to the branch mainline in revision 1362.
  • Revision ID: brian@gaz-20100319014539-jv38vkd8h9a4axzr
Another pass through the interface...

Show diffs side-by-side

added added

removed removed

Lines of Context:
drizzled/plugin/authorization.cc
23
23
#include <vector>
24
24
 
25
25
#include "drizzled/plugin/authorization.h"
26
 
#include "drizzled/identifier.h"
 
26
#include "drizzled/security_context.h"
27
27
#include "drizzled/error.h"
28
28
#include "drizzled/session.h"
 
29
#include "drizzled/plugin/registry.h"
29
30
#include "drizzled/gettext.h"
30
31
 
 
32
using namespace std;
 
33
 
31
34
namespace drizzled
32
35
{
33
36
 
34
 
std::vector<plugin::Authorization *> authorization_plugins;
 
37
vector<plugin::Authorization *> authorization_plugins;
35
38
 
36
39
 
37
40
bool plugin::Authorization::addPlugin(plugin::Authorization *auth)
38
41
{
39
42
  if (auth != NULL)
40
43
    authorization_plugins.push_back(auth);
41
 
 
42
44
  return false;
43
45
}
44
46
 
46
48
{
47
49
  if (auth != NULL)
48
50
  {
49
 
    authorization_plugins.erase(std::find(authorization_plugins.begin(),
50
 
                                          authorization_plugins.end(),
51
 
                                          auth));
 
51
    authorization_plugins.erase(find(authorization_plugins.begin(),
 
52
                                     authorization_plugins.end(),
 
53
                                     auth));
52
54
  }
53
55
}
54
56
 
56
58
{
57
59
 
58
60
class RestrictDbFunctor :
59
 
  public std::unary_function<plugin::Authorization *, bool>
 
61
  public unary_function<plugin::Authorization *, bool>
60
62
{
61
 
  const identifier::User &user_ctx;
62
 
  identifier::Schema::const_reference schema;
63
 
 
 
63
  const SecurityContext &user_ctx;
 
64
  const string &schema;
64
65
public:
65
 
  RestrictDbFunctor(const identifier::User &user_ctx_arg,
66
 
                    identifier::Schema::const_reference schema_arg) :
67
 
    std::unary_function<plugin::Authorization *, bool>(),
 
66
  RestrictDbFunctor(const SecurityContext &user_ctx_arg,
 
67
                    const string &schema_arg) :
 
68
    unary_function<plugin::Authorization *, bool>(),
68
69
    user_ctx(user_ctx_arg),
69
70
    schema(schema_arg)
70
71
  { }
76
77
};
77
78
 
78
79
class RestrictTableFunctor :
79
 
  public std::unary_function<plugin::Authorization *, bool>
 
80
  public unary_function<plugin::Authorization *, bool>
80
81
{
81
 
  const identifier::User &user_ctx;
82
 
  identifier::Table &table;
 
82
  const SecurityContext &user_ctx;
 
83
  const string &schema;
 
84
  const string &table;
83
85
public:
84
 
  RestrictTableFunctor(const identifier::User &user_ctx_arg,
85
 
                       identifier::Table &table_arg) :
86
 
    std::unary_function<plugin::Authorization *, bool>(),
 
86
  RestrictTableFunctor(const SecurityContext &user_ctx_arg,
 
87
                       const string &schema_arg,
 
88
                       const string &table_arg) :
 
89
    unary_function<plugin::Authorization *, bool>(),
87
90
    user_ctx(user_ctx_arg),
 
91
    schema(schema_arg),
88
92
    table(table_arg)
89
93
  { }
90
94
 
91
95
  inline result_type operator()(argument_type auth)
92
96
  {
93
 
    return auth->restrictTable(user_ctx, table);
 
97
    return auth->restrictTable(user_ctx, schema, table);
94
98
  }
95
99
};
96
100
 
97
101
class RestrictProcessFunctor :
98
 
  public std::unary_function<plugin::Authorization *, bool>
 
102
  public unary_function<plugin::Authorization *, bool>
99
103
{
100
 
  const identifier::User &user_ctx;
101
 
  const identifier::User &session_ctx;
 
104
  const SecurityContext &user_ctx;
 
105
  const SecurityContext &session_ctx;
102
106
public:
103
 
  RestrictProcessFunctor(const identifier::User &user_ctx_arg,
104
 
                         const identifier::User &session_ctx_arg) :
105
 
    std::unary_function<plugin::Authorization *, bool>(),
 
107
  RestrictProcessFunctor(const SecurityContext &user_ctx_arg,
 
108
                         const SecurityContext &session_ctx_arg) :
 
109
    unary_function<plugin::Authorization *, bool>(),
106
110
    user_ctx(user_ctx_arg),
107
111
    session_ctx(session_ctx_arg)
108
112
  { }
113
117
  }
114
118
};
115
119
 
116
 
class PruneSchemaFunctor :
117
 
  public std::unary_function<identifier::Schema&, bool>
118
 
{
119
 
  drizzled::identifier::User::const_shared_ptr user_ctx;
120
 
public:
121
 
  PruneSchemaFunctor(drizzled::identifier::User::const_shared_ptr user_ctx_arg) :
122
 
    std::unary_function<identifier::Schema&, bool>(),
123
 
    user_ctx(user_ctx_arg)
124
 
  { }
125
 
 
126
 
  inline result_type operator()(argument_type auth)
127
 
  {
128
 
    return not plugin::Authorization::isAuthorized(user_ctx, auth, false);
129
 
  }
130
 
};
131
 
 
132
120
} /* namespace */
133
121
 
134
 
bool plugin::Authorization::isAuthorized(identifier::User::const_shared_ptr user_ctx,
135
 
                                         identifier::Schema::const_reference schema_identifier,
136
 
                                         bool send_error)
137
 
{
138
 
  /* If we never loaded any authorization plugins, just return true */
139
 
  if (authorization_plugins.empty())
140
 
    return true;
141
 
 
142
 
  /* Use find_if instead of foreach so that we can collect return codes */
143
 
  std::vector<plugin::Authorization *>::const_iterator iter=
144
 
    std::find_if(authorization_plugins.begin(),
145
 
                 authorization_plugins.end(),
146
 
                 RestrictDbFunctor(*user_ctx, schema_identifier));
147
 
 
148
 
 
149
 
  /*
150
 
   * If iter is == end() here, that means that all of the plugins returned
151
 
   * false, which means that that each of them believe the user is authorized
152
 
   * to view the resource in question.
153
 
   */
154
 
  if (iter != authorization_plugins.end())
155
 
  {
156
 
    if (send_error)
157
 
    {
158
 
      std::string path;
159
 
      schema_identifier.getSQLPath(path);
160
 
 
161
 
      my_error(ER_DBACCESS_DENIED_ERROR, MYF(0),
162
 
               user_ctx->username().c_str(),
163
 
               user_ctx->address().c_str(),
164
 
               path.c_str());
165
 
    }
166
 
    return false;
167
 
  }
168
 
  return true;
169
 
}
170
 
 
171
 
bool plugin::Authorization::isAuthorized(drizzled::identifier::User::const_shared_ptr user_ctx,
172
 
                                         identifier::Table &table,
173
 
                                         bool send_error)
174
 
{
175
 
  /* If we never loaded any authorization plugins, just return true */
176
 
  if (authorization_plugins.empty())
177
 
    return true;
178
 
 
179
 
  /* Use find_if instead of foreach so that we can collect return codes */
180
 
  std::vector<plugin::Authorization *>::const_iterator iter=
181
 
    std::find_if(authorization_plugins.begin(),
182
 
            authorization_plugins.end(),
183
 
            RestrictTableFunctor(*user_ctx, table));
184
 
 
185
 
  /*
186
 
   * If iter is == end() here, that means that all of the plugins returned
187
 
   * false, which means that that each of them believe the user is authorized
188
 
   * to view the resource in question.
189
 
   */
190
 
  if (iter != authorization_plugins.end())
191
 
  {
192
 
    if (send_error)
193
 
    {
194
 
      std::string path;
195
 
      table.getSQLPath(path);
196
 
 
197
 
      my_error(ER_DBACCESS_DENIED_ERROR, MYF(0),
198
 
               user_ctx->username().c_str(),
199
 
               user_ctx->address().c_str(),
200
 
               path.c_str());
201
 
    }
202
 
    return false;
203
 
  }
204
 
  return true;
205
 
}
206
 
 
207
 
bool plugin::Authorization::isAuthorized(drizzled::identifier::User::const_shared_ptr user_ctx,
208
 
                                         const Session *session,
209
 
                                         bool send_error)
210
 
{
211
 
  return isAuthorized(*user_ctx, session, send_error);
212
 
}
213
 
 
214
 
bool plugin::Authorization::isAuthorized(drizzled::identifier::User::const_reference user_ctx,
215
 
                                         const Session *session,
216
 
                                         bool send_error)
217
 
{
218
 
  drizzled::identifier::User::const_shared_ptr session_ctx= session->user();
219
 
 
220
 
  /* If we never loaded any authorization plugins, just return true */
221
 
  if (authorization_plugins.empty())
222
 
    return true;
223
 
 
224
 
  /* Use find_if instead of foreach so that we can collect return codes */
225
 
  std::vector<plugin::Authorization *>::const_iterator iter=
226
 
    std::find_if(authorization_plugins.begin(),
227
 
                 authorization_plugins.end(),
228
 
                 RestrictProcessFunctor(user_ctx, *session_ctx));
 
122
bool plugin::Authorization::isAuthorized(const SecurityContext &user_ctx,
 
123
                                         const string &schema,
 
124
                                         bool send_error)
 
125
{
 
126
  /* If we never loaded any authorization plugins, just return true */
 
127
  if (authorization_plugins.empty())
 
128
    return true;
 
129
 
 
130
  /* Use find_if instead of foreach so that we can collect return codes */
 
131
  vector<plugin::Authorization *>::const_iterator iter=
 
132
    find_if(authorization_plugins.begin(),
 
133
            authorization_plugins.end(),
 
134
            RestrictDbFunctor(user_ctx, schema));
 
135
 
 
136
  /*
 
137
   * If iter is == end() here, that means that all of the plugins returned
 
138
   * false, which means that that each of them believe the user is authorized
 
139
   * to view the resource in question.
 
140
   */
 
141
  if (iter != authorization_plugins.end())
 
142
  {
 
143
    if (send_error)
 
144
    {
 
145
      my_error(ER_DBACCESS_DENIED_ERROR, MYF(0),
 
146
               user_ctx.getUser().c_str(),
 
147
               user_ctx.getIp().c_str(),
 
148
               schema.c_str());
 
149
    }
 
150
    return false;
 
151
  }
 
152
  return true;
 
153
}
 
154
 
 
155
bool plugin::Authorization::isAuthorized(const SecurityContext &user_ctx,
 
156
                                         const string &schema,
 
157
                                         const string &table,
 
158
                                         bool send_error)
 
159
{
 
160
  /* If we never loaded any authorization plugins, just return true */
 
161
  if (authorization_plugins.empty())
 
162
    return true;
 
163
 
 
164
  /* Use find_if instead of foreach so that we can collect return codes */
 
165
  vector<plugin::Authorization *>::const_iterator iter=
 
166
    find_if(authorization_plugins.begin(),
 
167
            authorization_plugins.end(),
 
168
            RestrictTableFunctor(user_ctx, schema, table));
 
169
 
 
170
  /*
 
171
   * If iter is == end() here, that means that all of the plugins returned
 
172
   * false, which means that that each of them believe the user is authorized
 
173
   * to view the resource in question.
 
174
   */
 
175
  if (iter != authorization_plugins.end())
 
176
  {
 
177
    if (send_error)
 
178
    {
 
179
      my_error(ER_DBACCESS_DENIED_ERROR, MYF(0),
 
180
               user_ctx.getUser().c_str(),
 
181
               user_ctx.getIp().c_str(),
 
182
               schema.c_str());
 
183
    }
 
184
    return false;
 
185
  }
 
186
  return true;
 
187
}
 
188
 
 
189
bool plugin::Authorization::isAuthorized(const SecurityContext &user_ctx,
 
190
                                         const Session *session,
 
191
                                         bool send_error)
 
192
{
 
193
  const SecurityContext &session_ctx= session->getSecurityContext();
 
194
 
 
195
  /* If we never loaded any authorization plugins, just return true */
 
196
  if (authorization_plugins.empty())
 
197
    return true;
 
198
 
 
199
  /* Use find_if instead of foreach so that we can collect return codes */
 
200
  vector<plugin::Authorization *>::const_iterator iter=
 
201
    find_if(authorization_plugins.begin(),
 
202
            authorization_plugins.end(),
 
203
            RestrictProcessFunctor(user_ctx, session_ctx));
229
204
 
230
205
  /*
231
206
   * If iter is == end() here, that means that all of the plugins returned
241
216
    }
242
217
    return false;
243
218
  }
244
 
 
245
219
  return true;
246
220
}
247
221
 
248
 
void plugin::Authorization::pruneSchemaNames(drizzled::identifier::User::const_shared_ptr user_ctx,
249
 
                                             identifier::Schema::vector &set_of_schemas)
 
222
void plugin::Authorization::pruneSchemaNames(const SecurityContext &user_ctx,
 
223
                                             set<string> &set_of_names)
250
224
{
 
225
 
 
226
  set<string> pruned_set_of_names;
 
227
 
251
228
  /* If we never loaded any authorization plugins, just return true */
252
229
  if (authorization_plugins.empty())
253
230
    return;
254
231
 
255
 
  set_of_schemas.erase(std::remove_if(set_of_schemas.begin(),
256
 
                                      set_of_schemas.end(),
257
 
                                      PruneSchemaFunctor(user_ctx)),
258
 
                       set_of_schemas.end());
 
232
  /**
 
233
   * @TODO: It would be stellar if we could find a way to do this with a
 
234
   * functor and an STL algoritm
 
235
   */
 
236
  for(set<string>::const_iterator iter= set_of_names.begin();
 
237
      iter != set_of_names.end();
 
238
      ++iter)
 
239
  {
 
240
    if (plugin::Authorization::isAuthorized(user_ctx, *iter, false))
 
241
    {
 
242
      pruned_set_of_names.insert(*iter);
 
243
    }
 
244
  }
 
245
  set_of_names.swap(pruned_set_of_names);
259
246
}
260
247
 
261
248
} /* namespace drizzled */