gRPC: autenticación, metadatos y reflexión

En gRPC cada llamada lleva, además del mensaje, unos metadatos: pares de clave y valor que viajan como cabeceras de la petición. Ahí va la credencial, normalmente en la clave authorization, y ahí puede ir cualquier otra cosa que el cliente quiera mandar. El protocolo reserva para su propio uso las claves que empiezan por grpc- y marca las binarias con el sufijo -bin; el resto lo eligen las aplicaciones.

La consecuencia es la misma que con las cabeceras HTTP: todo metadato lo escribe quien llama. Una credencial firmada se puede validar; un metadato que dice «soy coordinador» es solo una afirmación del cliente, y decidir con él equivale a preguntarle al usuario qué permisos quiere tener.

Abre el laboratorio y lee interceptor.go. Un interceptor de autenticación es una función que corre antes de cada método y decide si la llamada sigue. Casi todos tienen una lista de métodos que no piden credencial, y la comprobación de salud suele ser el único que debería estar ahí. Mira qué más hay en esa lista y crúzalo con lo que devuelve según flota.proto.

ReasignarPedido solo deja pasar a coordinadores, y en el registro un usuario que es repartidor lo usó con éxito. El método comprueba el rol; la pregunta es de dónde sale ese rol. Lee cómo lo carga el interceptor y mira las dos llamadas de u-70315 a ese método.

gRPC distingue dos clases de llamada: las unarias, un pedido y una respuesta, y las de flujo, donde uno de los lados o los dos mandan una secuencia de mensajes. Los interceptores también se registran por clase, y uno de llamadas unarias no corre en las de flujo. La reflexión del servidor, que permite a un cliente preguntarle qué servicios y mensajes ofrece, es justamente un método de flujo. La documentación oficial de gRPC advierte que en un servicio público puede convenir no exponerla, y aquí se registró con un comentario de quitarla antes de producción. Lee servidor.go y busca en el registro qué pasó sin credencial.

Ya tienes cuatro hallazgos en un solo servicio: un método sensible exento, un rol escrito por el cliente, un interceptor que solo cubre una clase de llamada y la reflexión encendida en producción. De paso, el interceptor responde «permiso denegado» a una llamada sin credencial cuando la guía de códigos de estado de gRPC reserva ese código para quien sí se identificó; para quien no lo hizo existe el de no autenticado. Eso no abre nada, pero confunde a quien lee los registros.