如何在kdb+中检查当前进程的连接是否使用TLS

完全可以实现需求，无需采用双向证书验证，仅通过kdb内置的.z.pw认证回调结合.z.e连接属性即可完成校验。

核心实现逻辑 #

1. 预加载LDAP用户列表：从CSV配置文件中读取所有需要强制TLS的LDAP用户名，存入内存集合方便快速查询。
2. 重写认证回调.z.pw：在用户认证阶段完成两个关键校验：
   • 检查当前用户是否属于LDAP用户列表；
   • 通过.z.e判断连接是否使用TLS（.z.e返回1代表TLS连接，0代表明文连接）；
   • 若LDAP用户使用明文连接，直接拒绝认证；若为TLS连接，则执行LDAP身份验证流程；非LDAP用户则按原有逻辑处理。

示例代码 #

// 从CSV加载LDAP用户列表（假设CSV列名为username）
ldapUsers: exec username from `:ldap_users.csv;

// 自定义认证回调函数
.z.pw:{[user;pass]
    // 获取当前连接的TLS状态
    isTLS:.z.e;
    // 校验LDAP用户的连接方式
    if[user in ldapUsers;
        if[not isTLS;
            // 拒绝LDAP用户的明文连接
            return 0b;
        ];
        // 执行LDAP认证逻辑（需自行实现LDAP验证函数）
        return yourLdapAuthFunc[user;pass];
    ];
    // 非LDAP用户走原有认证流程（如本地用户验证）
    return yourLocalAuthFunc[user;pass];
};

关键说明 #

• .z.e是kdb为每个连接维护的内置属性，能精准识别当前连接的TLS状态，不存在误判；
• 仅需服务器端配置TLS证书（单向TLS）即可，无需要求客户端提供证书，无需双向证书验证；
• 需保证LDAP用户列表的时效性，可定时重新加载CSV文件避免数据过期。

内容的提问来源于stack exchange，提问作者flavio