لماذا تستمر مصادقة Basic في Squid في قبول كلمة مرور قديمة؟

تغيير ملف كلمات المرور في Squid لا يجعل بالضرورة كل طلب لاحق يستدعي البرنامج المساعد مجددًا. ففي مصادقة Basic، يستطيع Squid تخزين زوج من اسم المستخدم وكلمة المرور جرى التحقق منه بنجاح تخزينًا مؤقتًا.

إعداد Squid 6.13 الذي يحدد مدة اعتبار ذلك التحقق صالحًا هو credentialsttl. مثلًا:

auth_param basic credentialsttl 5 minutes

هذه قيمة سياسة توضيحية، وليست توصية عامة. اخترها وفق تأخير سحب الصلاحية الذي تقبله والحمل الذي تستطيع خلفية المصادقة تحمله.

افصل بين ثلاثة اختبارات

تأكد أولًا أنك عدلت الملف الذي يستخدمه البرنامج المساعد النشط. فالتعديل الصحيح لملف غير مستخدم لا يؤثر بشيء. ثم تحقق من قدرة البرنامج المساعد على قراءة الملف والتحقق من معلومات الحساب الجديدة. وأخيرًا اختبر طلب وكيل جديدًا عبر النسخة العاملة، حيث يطبق أيضًا التخزين المؤقت لبيانات الاعتماد وقواعد الوصول.

اختبر البرنامج المساعد والوكيل العامل كلًا على حدة. يبين البرنامج المساعد ما تقبله الخلفية حاليًا، بينما قد يواصل Squid استخدام نتيجة تحقق مخزنة. وعند تبديل بيانات الاعتماد، تحقق من عمل الجديدة ومن رفض القديمة بعد انقضاء نافذة التحقق المطبقة.

استخدم حساب اختبار مخصصًا عند دراسة هذا السلوك. أبقِ الطلب ومصدر العميل والهدف ثابتة، وتجنب وضع كلمات مرور حقيقية في مخرجات أوامر مشتركة.

خطط لسحب الصلاحية بدل الاعتماد على تعديل ملف

تقليل مدة صلاحية التحقق يزيد عمل الخلفية. قبل تقليلها في خدمة مزدحمة، ضع سعة البرامج المساعدة في الحسبان وتحقق من السلوك مع الخلفية الفعلية. لا تفترض أن إعادة تحميل الإعدادات تمسح كل حالات المصادقة ذات الصلة ما لم يُثبت ذلك لإصدارك وإعدادك.

لسحب الوصول على نحو عاجل، قد يوفر منع صريح للوصول بحسب الحساب أو المصدر حدًا مستقلًا. اختبر هذا المنع من المسار المتأثر بدل الاكتفاء بالاعتماد على الحذف من ملف كلمات المرور.

يصف هذا الإعداد التخزين المؤقت للتحقق في Basic. أما مخططات المصادقة المرتبطة بالاتصال فلها حالات إضافية، ولا ينبغي إسناد نموذج سحب الصلاحية نفسه إليها بالقياس.