2、基础认证概念：HTTP Basic Auth原理、认证机制、Session与JWT对比

在构建 Prometheus 采集作业平台的安全防线时，认证（Authentication）与授权（Authorization）是基石。本章深入剖析三种最基础的认证概念：HTTP Basic Auth、 认证机制，以及 Session 与 JWT 的对比。理解这些原理，是后续配置 Prometheus 安全插件、实现多租户隔离和 API 网关防护的前提。

2.1 HTTP Basic Auth 原理

HTTP Basic Auth 是最简单的 HTTP 认证方式，由 RFC 7617 定义。其核心流程如下：

1. 客户端发起请求：客户端（如 Prometheus Server 或 curl）向服务端（如 Exporter 或 API）发送 HTTP 请求，未携带认证信息。
2. 服务端返回 401：服务端检测到请求未认证，返回 401 Unauthorized 状态码，并在响应头中添加 WWW-Authenticate: Basic realm="Prometheus"。
3. 客户端拼接凭证：客户端将用户名和密码拼接为 username:password 字符串，然后进行 Base64 编码。
4. 发送认证头：客户端在后续请求的 Authorization 头中携带编码后的凭证，格式为 Authorization: Basic <base64>。
5. 服务端验证：服务端解码 Base64，提取用户名和密码，与本地存储的凭证比对。验证通过则返回资源，否则返回 401。

# Prometheus 采集配置示例：使用 Basic Auth 访问目标
scrape_configs:
  - job_name: 'protected_exporter'
    basic_auth:
      username: 'prometheus'
      password: 's3cr3t'
    static_configs:
      - targets: ['192.168.1.100:9100']

2.2 认证机制

认证是一种无状态（Stateless）的认证方式，客户端在首次认证后获得一个令牌（），后续请求携带该 即可证明身份。其核心流程如下：

1. 客户端发送凭证：客户端向认证服务器（Auth Server）发送用户名/密码或 。
2. 服务端签发 ：认证服务器验证凭证通过后，生成一个 （通常为随机字符串或 JWT），并返回给客户端。
3. 客户端存储 ：客户端将 存储在本地（如内存、LocalStorage、HTTP-Only Cookie）。
4. 携带 访问资源：客户端在后续请求的 Authorization 头中携带 ，格式为 Authorization: Bearer <>。
5. 服务端验证 ：资源服务器验证 的有效性（签名、过期时间、权限范围），验证通过则返回资源。

2.3 Session 与 JWT 对比

Session 和 JWT（JSON Web ）是两种主流的 实现方案，它们在状态管理、存储位置和扩展性上存在本质差异。下表从多个维度进行对比：

2.4 JWT 结构详解

JWT 由三部分组成，以点号（.）分隔：Header.Payload.Signature。每一部分都是 Base64URL 编码后的 JSON 字符串。

• Header（头部）：声明 类型（typ）和签名算法（alg），如 {"alg": "HS256", "typ": "JWT"}。
• Payload（载荷）：携带声明（Claims），包括标准声明（iss、sub、exp、iat 等）和自定义声明（如 role、tenant_id）。
• Signature（签名）：使用 Header 中指定的算法，对 Header.Payload 进行签名，防止篡改。

// JWT 示例（解码后）
Header: {
  "alg": "HS256",
  "typ": "JWT"
}
Payload: {
  "sub": "prometheus_scraper",
  "iss": "auth.prometheus.local",
  "exp": 1718000000,
  "iat": 1717913600,
  "role": "read_only",
  "tenant_id": "prod-01"
}
Signature: HMACSHA256(
  base64UrlEncode(header) + "." + base64UrlEncode(payload),
  secret_key
)

2.5 Prometheus 场景下的认证选型建议

针对 Prometheus 采集作业平台，不同组件和场景推荐使用不同的认证方式：