Zookeeper - 常用 ACL 权限方案：world auth digest ip

👋 大家好，欢迎来到我的技术博客！ 📚 在这里，我会分享学习笔记、实战经验与技术思考，力求用简单的方式讲清楚复杂的问题。 🎯 本文将围绕Zookeeper这个话题展开，希望能为你带来一些启发或实用的参考。 🌱 无论你是刚入门的新手，还是正在进阶的开发者，希望你都能有所收获！

文章目录

• • • 🐱 什么是 Zookeeper ACL？
    • 🔐 常见 ACL 权限方案
    • 🌍 1. `world` 权限
    • • 🧪 示例：使用 `world` 权限创建节点
    • 🔐 2. `auth` 权限
    • • 🧪 示例：使用 `auth` 权限创建节点
    • 🔐 3. `digest` 权限
    • • 🧪 示例：使用 `digest` 权限创建节点
    • 🌐 4. `ip` 权限
    • • 🧪 示例：使用 `ip` 权限创建节点
    • 🧭 ACL 权限组合使用
    • • 🧪 示例：组合使用 `digest` 和 `ip` 权限
    • 📊 ACL 权限总结对比
    • 🧠 权限模型选择建议
    • 📚 延伸阅读
    • 🧩 Mermaid 流程图：ACL 权限控制流程
    • 🧪 小结

在 Zookeeper 中，ACL（Access Control List，访问控制列表）机制是保障分布式系统数据安全的重要手段之一。Zookeeper 提供了多种权限控制方案，其中最常用的是
world、
auth、
digest 和
ip 四种权限模型。本文将深入探讨这四种 ACL 权限方案的使用方法、适用场景以及如何在 Java 中进行实际操作，并结合示例代码帮助读者更好地理解和掌握这些权限控制机制。

🐱 什么是 Zookeeper ACL？

Zookeeper 是一个高性能的分布式协调服务，广泛用于分布式系统中的配置管理、命名服务、分布式锁等场景。为了确保数据的安全性，Zookeeper 提供了基于 ACL 的访问控制机制。ACL 可以控制对 Zookeeper 节点（znode）的访问权限，包括创建、读取、写入、删除等操作。

每个 znode 都可以设置一组 ACL 规则，这些规则定义了哪些用户或主机可以对节点执行哪些操作。

🔐 常见 ACL 权限方案

Zookeeper 支持以下几种主要的 ACL 权限方案：

• world：最宽松的权限模型，表示所有用户都可以访问。
• auth：仅授权给通过认证的用户。
• digest：使用用户名和密码进行认证，是最常用的认证方式。
• ip：根据客户端的 IP 地址进行访问控制。

下面我们将分别介绍这四种权限模型的使用方法，并结合 Java 示例进行说明。

🌍 1. world 权限

world 权限是最宽松的一种权限模型，表示任何客户端都可以访问该节点。它的唯一权限标识是 anyone。

🧪 示例：使用 world 权限创建节点

import org.apache.zookeeper.*;
import org.apache.zookeeper.data.ACL;
import org.apache.zookeeper.data.Id;

import java.util.List;
import java.util.ArrayList;

public class WorldACLExample {
public static void main(String[] args) throws Exception {
ZooKeeper zk = new ZooKeeper("localhost:2181", 3000, null);

// 定义 ACL 列表
List<ACL> aclList = new ArrayList<>();
ACL acl = new ACL();
acl.setId(new Id("world", "anyone")); // world 权限，anyone 表示所有人都可以访问
acl.setPerms(Perms.ALL); // 所有权限
aclList.add(acl);

// 创建节点
String path = zk.create("/world_acl_node", "data".getBytes(), aclList, CreateMode.PERSISTENT);
System.out.println("Node created at path: " + path);

zk.close();
}
}

在这个例子中，我们创建了一个具有 world 权限的节点，任何客户端都可以对该节点执行读写操作。

📌 注意：world 权限非常不安全，通常只用于测试环境或不需要权限控制的场景。

🔐 2. auth 权限

auth 权限用于授权已经通过认证的用户。只有成功通过认证的客户端才能访问设置了 auth 权限的节点。

🧪 示例：使用 auth 权限创建节点

import org.apache.zookeeper.*;
import org.apache.zookeeper.data.ACL;
import org.apache.zookeeper.data.Id;

import java.util.List;
import java.util.ArrayList;

public class AuthACLExample {
public static void main(String[] args) throws Exception {
ZooKeeper zk = new ZooKeeper("localhost:2181", 3000, null);

// 添加认证信息
zk.addAuthInfo("digest", "user1:password1".getBytes());

// 定义 ACL 列表
List<ACL> aclList = new ArrayList<>();
ACL acl = new ACL();
acl.setId(new Id("auth", "")); // auth 权限
acl.setPerms(Perms.ALL);
aclList.add(acl);

// 创建节点
String path = zk.create("/auth_acl_node", "data".getBytes(), aclList, CreateMode.PERSISTENT);
System.out.println("Node created at path: " + path);

zk.close();
}
}

在这个例子中，我们首先使用 addAuthInfo 方法进行认证，然后创建了一个只有认证用户才能访问的节点。

📌 注意：auth 权限不会绑定具体的用户名，只要是通过认证的用户都可以访问。

🔐 3. digest 权限

digest 是 Zookeeper 中最常用的认证方式之一，它基于用户名和密码的组合进行认证。权限可以精确到具体用户，安全性较高。

🧪 示例：使用 digest 权限创建节点

import org.apache.zookeeper.*;
import org.apache.zookeeper.data.ACL;
import org.apache.zookeeper.data.Id;

import java.util.List;
import java.util.ArrayList;

public class DigestACLExample {
public static void main(String[] args) throws Exception {
ZooKeeper zk = new ZooKeeper("localhost:2181", 3000, null);

// 添加认证信息
zk.addAuthInfo("digest", "user1:password1".getBytes());

// 定义 ACL 列表，指定具体用户
List<ACL> aclList = new ArrayList<>();
ACL acl = new ACL();
acl.setId(new Id("digest", "user1:Z3NsYjZtQW1LZ2IwVzFQcUJlV252ZjJ0V0JQa253cQ==")); // digest 用户名:base64编码的密码
acl.setPerms(Perms.ALL);
aclList.add(acl);

// 创建节点
String path = zk.create("/digest_acl_node", "data".getBytes(), aclList, CreateMode.PERSISTENT);
System.out.println("Node created at path: " + path);

zk.close();
}
}

在这个例子中，我们使用了 digest 权限并指定了具体的用户名和密码（密码需要使用 SHA1 加密后 Base64 编码）。只有该用户才能访问该节点。

📌 注意：生成 digest 密码的方式可以通过以下命令：

echo -n "user1:password1" | openssl dgst -binary -sha1 | openssl base64

🌐 4. ip 权限

ip 权限是根据客户端的 IP 地址来控制访问权限的。适用于需要限制特定网络访问的场景。

🧪 示例：使用 ip 权限创建节点

import org.apache.zookeeper.*;
import org.apache.zookeeper.data.ACL;
import org.apache.zookeeper.data.Id;

import java.util.List;
import java.util.ArrayList;

public class IPACLExample {
public static void main(String[] args) throws Exception {
ZooKeeper zk = new ZooKeeper("localhost:2181", 3000, null);

// 定义 ACL 列表，指定 IP 地址
List<ACL> aclList = new ArrayList<>();
ACL acl = new ACL();
acl.setId(new Id("ip", "192.168.1.100")); // 限制只有该 IP 可以访问
acl.setPerms(Perms.ALL);
aclList.add(acl);

// 创建节点
String path = zk.create("/ip_acl_node", "data".getBytes(), aclList, CreateMode.PERSISTENT);
System.out.println("Node created at path: " + path);

zk.close();
}
}

在这个例子中，我们创建了一个只有来自 192.168.1.100 的客户端才能访问的节点。

📌 注意：ip 权限容易受到 IP 欺骗攻击，因此在生产环境中应结合其他认证方式一起使用。

🧭 ACL 权限组合使用

Zookeeper 允许为一个节点设置多个 ACL 权限，从而实现更细粒度的权限控制。例如，可以同时允许某个 IP 的客户端和某个认证用户访问某个节点。

🧪 示例：组合使用 digest 和 ip 权限

import org.apache.zookeeper.*;
import org.apache.zookeeper.data.ACL;
import org.apache.zookeeper.data.Id;

import java.util.List;
import java.util.ArrayList;

public class MultiACLExample {
public static void main(String[] args) throws Exception {
ZooKeeper zk = new ZooKeeper("localhost:2181", 3000, null);

// 添加认证信息
zk.addAuthInfo("digest", "user1:password1".getBytes());

// 定义多个 ACL 权限
List<ACL> aclList = new ArrayList<>();

// digest 用户权限
ACL digestAcl = new ACL();
digestAcl.setId(new Id("digest", "user1:Z3NsYjZtQW1LZ2IwVzFQcUJlV252ZjJ0V0JQa253cQ=="));
digestAcl.setPerms(Perms.ALL);
aclList.add(digestAcl);

// IP 权限
ACL ipAcl = new ACL();
ipAcl.setId(new Id("ip", "192.168.1.100"));
ipAcl.setPerms(Perms.READ);
aclList.add(ipAcl);

// 创建节点
String path = zk.create("/multi_acl_node", "data".getBytes(), aclList, CreateMode.PERSISTENT);
System.out.println("Node created at path: " + path);

zk.close();
}
}

在这个例子中，我们为节点设置了两个 ACL 权限：一个 digest 用户拥有所有权限，而一个特定 IP 的客户端只能读取该节点。

📊 ACL 权限总结对比

下面是一个简单的表格，对比了四种 ACL 权限模型的特性：

🧠 权限模型选择建议

在实际使用中，应根据系统的安全需求选择合适的 ACL 权限模型：

• 开发测试环境：可以使用 world 或 auth，方便调试。
• 生产环境：推荐使用 digest，结合认证机制，确保数据安全。
• 特定网络环境：可结合 ip 和 digest 使用，增强访问控制。

📚 延伸阅读

• Zookeeper 官方文档 – ACL
• Zookeeper ACL 详解
• Apache Zookeeper 权限控制最佳实践

🧩 Mermaid 流程图：ACL 权限控制流程

#mermaid-svg-clj65SRj5xdPCop1{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-clj65SRj5xdPCop1 .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-clj65SRj5xdPCop1 .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-clj65SRj5xdPCop1 .error-icon{fill:#552222;}#mermaid-svg-clj65SRj5xdPCop1 .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-clj65SRj5xdPCop1 .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-clj65SRj5xdPCop1 .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-clj65SRj5xdPCop1 .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-clj65SRj5xdPCop1 .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-clj65SRj5xdPCop1 .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-clj65SRj5xdPCop1 .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-clj65SRj5xdPCop1 .marker{fill:#333333;stroke:#333333;}#mermaid-svg-clj65SRj5xdPCop1 .marker.cross{stroke:#333333;}#mermaid-svg-clj65SRj5xdPCop1 svg{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-clj65SRj5xdPCop1 p{margin:0;}#mermaid-svg-clj65SRj5xdPCop1 .label{font-family:\”trebuchet ms\”,verdana,arial,sans-serif;color:#333;}#mermaid-svg-clj65SRj5xdPCop1 .cluster-label text{fill:#333;}#mermaid-svg-clj65SRj5xdPCop1 .cluster-label span{color:#333;}#mermaid-svg-clj65SRj5xdPCop1 .cluster-label span p{background-color:transparent;}#mermaid-svg-clj65SRj5xdPCop1 .label text,#mermaid-svg-clj65SRj5xdPCop1 span{fill:#333;color:#333;}#mermaid-svg-clj65SRj5xdPCop1 .node rect,#mermaid-svg-clj65SRj5xdPCop1 .node circle,#mermaid-svg-clj65SRj5xdPCop1 .node ellipse,#mermaid-svg-clj65SRj5xdPCop1 .node polygon,#mermaid-svg-clj65SRj5xdPCop1 .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-clj65SRj5xdPCop1 .rough-node .label text,#mermaid-svg-clj65SRj5xdPCop1 .node .label text,#mermaid-svg-clj65SRj5xdPCop1 .image-shape .label,#mermaid-svg-clj65SRj5xdPCop1 .icon-shape .label{text-anchor:middle;}#mermaid-svg-clj65SRj5xdPCop1 .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-clj65SRj5xdPCop1 .rough-node .label,#mermaid-svg-clj65SRj5xdPCop1 .node .label,#mermaid-svg-clj65SRj5xdPCop1 .image-shape .label,#mermaid-svg-clj65SRj5xdPCop1 .icon-shape .label{text-align:center;}#mermaid-svg-clj65SRj5xdPCop1 .node.clickable{cursor:pointer;}#mermaid-svg-clj65SRj5xdPCop1 .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-clj65SRj5xdPCop1 .arrowheadPath{fill:#333333;}#mermaid-svg-clj65SRj5xdPCop1 .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-clj65SRj5xdPCop1 .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-clj65SRj5xdPCop1 .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-clj65SRj5xdPCop1 .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-clj65SRj5xdPCop1 .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-clj65SRj5xdPCop1 .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-clj65SRj5xdPCop1 .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-clj65SRj5xdPCop1 .cluster text{fill:#333;}#mermaid-svg-clj65SRj5xdPCop1 .cluster span{color:#333;}#mermaid-svg-clj65SRj5xdPCop1 div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:\”trebuchet ms\”,verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-clj65SRj5xdPCop1 .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-clj65SRj5xdPCop1 rect.text{fill:none;stroke-width:0;}#mermaid-svg-clj65SRj5xdPCop1 .icon-shape,#mermaid-svg-clj65SRj5xdPCop1 .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-clj65SRj5xdPCop1 .icon-shape p,#mermaid-svg-clj65SRj5xdPCop1 .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-clj65SRj5xdPCop1 .icon-shape .label rect,#mermaid-svg-clj65SRj5xdPCop1 .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-clj65SRj5xdPCop1 .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-clj65SRj5xdPCop1 .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-clj65SRj5xdPCop1 :root{–mermaid-font-family:\”trebuchet ms\”,verdana,arial,sans-serif;}

否

是

是

否

客户端连接 Zookeeper

是否设置 ACL?

允许访问

检查 ACL 权限

是否匹配权限?

允许访问

拒绝访问

🧪 小结

Zookeeper 提供了多种灵活的 ACL 权限控制机制，开发者可以根据实际需求选择合适的权限模型来保障分布式系统的数据安全。通过本文的介绍和 Java 示例，相信你已经对 world、auth、digest 和 ip 四种权限模型有了更深入的理解。在实际项目中，合理使用这些权限机制，将有助于构建更安全、稳定的分布式系统。

🧩 提示：ACL 权限设置后，节点的权限不能更改，只能重新创建节点。因此，在设置 ACL 时要谨慎选择权限模型和权限列表。

如果你对 Zookeeper 的权限机制还有疑问，欢迎继续探索官方文档和社区资源，深入了解其背后的设计原理与最佳实践。

🙌 感谢你读到这里！ 🔍 技术之路没有捷径，但每一次阅读、思考和实践，都在悄悄拉近你与目标的距离。 💡 如果本文对你有帮助，不妨 👍 点赞、📌 收藏、📤 分享 给更多需要的朋友！ 💬 欢迎在评论区留下你的想法、疑问或建议，我会一一回复，我们一起交流、共同成长 🌿 🔔 关注我，不错过下一篇干货！我们下期再见！✨