الخلاصة

  • يحدد عميل PAI العام لدى LACNIC مدة دقيقتين لنتائج الصلاحيات المخزنة مؤقتا. يمكن لفشل تحديث تنطبق عليه معالجة الخطأ أن يبدأ هذه المدة من جديد مع إبقاء البيانات السابقة نفسها.
  • يتوقع الاختبار المرفق ذلك صراحة عند وصول JSON مشوه. أما الجواب السلبي الجديد الذي يجري فك ترميزه بنجاح فينشئ سجلا جديدا ويحل محل القديم.
  • لا تثبت هذه القراءة اعتماد الشفرة في الإنتاج، أو استمرار صلاحية ألغيت، أو وقوع عملية غير مأذونة. إنها تكشف اختلافا بين ساعة التخزين وساعة آخر قرار ناجح.

الجواب الذي يعيش أكثر من وعائه

عندما يتعذر قراءة رد جديد من خدمة الصلاحيات، لا يكون كل مستخدم قد فقد حقه بالضرورة. قد يبقى العمل مشروعاً بينما تتعطل إحدى التبعيات مدة قصيرة. ولهذا تستطيع التطبيقات الاحتفاظ بآخر جواب واستخدامه مؤقتا، بدلا من تحويل مشكلة محدودة إلى توقف عام. هذا مبرر حقيقي للاستمرارية، وليس قرينة تلقائية على ضعف الحماية.

لكن قبول جواب سابق قرار تتخذه جهة مختلفة عن الجهة التي أصدرته. إذا كان التطبيق قد أعاد استخدام البيانات الآن، فهذا لا يعني أن مصدر الصلاحيات أكدها الآن. إعادة ضبط تاريخ الحاوية تجعلها حديثة، ولا تجعل مضمونها حديثا بالضرورة. ينبغي أن يستطيع من يتلقى النتيجة تمييز هذين الحدثين قبل أن يبني عليهما إجراء آخر.

يمكن رؤية هذا الفرق في المستودع العام pai-auth-ws-client التابع لـLACNIC. تعتمد القراءة هنا النسخة المحددة بالالتزام b85523718bfdbd834c85add8e06c3b4a1b813e59، الذي كان على الفرع الرئيسي عند الملاحظة في 14 سبتمبر 2026. تحديد النسخة يتيح مراجعة التنفيذ نفسه. لا يحدد نسخة مثبّتة في تطبيق حي، ولا عدد الجهات التي تستخدمها.

يصف README المشروع بأنه عميل Java لوظائف المصادقة والتفويض والجلسات في PAI. هذا يثبت غرض المشروع المنشور، لا خريطة انتشاره. لا يجوز الانتقال من وجود هذه الشفرة إلى القول إن جميع وظائف LACNIC تمر بها، أو إن كل حساب مرتبط بالمؤسسة يعتمد سياسة التمديد نفسها.

ماذا تقيس الدقيقتان؟

يستخدم PortalWSClient خريطة ConcurrentHashMap ثابتة داخل العملية. مفتاحها هو الرمز المقدم إلى الاستدعاء، ويضم كل سجل كائن TokenData وطابعا زمنيا قابلا للتغيير. تحدد CACHE_DURATION_MS فترة دقيقتين، ويقارن فحص الانتهاء الوقت الحالي بذلك الطابع. لذلك فالعمر الذي تراه هذه القاعدة هو عمر السجل منذ آخر ضبط لتاريخه.

إذا لم تنته الفترة، تعيد الدالة البيانات المحفوظة مباشرة. لا يحصل هذا المسار في الدالة على جواب جديد من /authorization. هذه وظيفة التخزين المؤقت المعتادة: تقليل الاستدعاءات البعيدة وتجنب تحميل كل طلب عمل انتظار التبعية وخطر اضطرابها القصير. وجودها وحده لا يثبت أن طلبا غير مشروع سيُقبل، ولا يخبرنا بكل ما يتحقق منه التطبيق المستهلك.

عند انتهاء الفترة، يحذف العميل السجل من الخريطة ويحاول الحصول على جواب بديل وفك ترميزه. ومع ذلك يحتفظ متغير محلي بمرجع إلى السجل السابق أثناء المحاولة. الحذف من الخريطة المشتركة ليس محوا للكائن من الاستدعاء الجاري. هذا المرجع هو ما يسمح لمعالجة الخطأ بالعودة إلى البيانات التي كانت موجودة قبل التحديث.

عندما ينجح فك ترميز الجواب الجديد، ينشئ العميل سجلا جديدا ببياناته ويعيده. يشمل ذلك بيانات التفويض السلبية التي يمكن قراءتها. ينبغي الاحتفاظ بهذه الحقيقة داخل التقييم: رفض جديد مفهوم ليس هو الحالة التي يوضحها الاختبار. الادعاء بأن الإذن القديم يتغلب دائما على رفض جديد سيكون مخالفا لمسار النجاح في الشفرة.

أما الفرع المعني هنا فيلتقط IOException. إذا بقي المرجع السابق متاحا، يستدعي cached.extend()، فيغير تاريخ السجل إلى الوقت الحالي، ثم يعيده إلى الخريطة ويعيد بياناته القديمة. لا يحصل هذا الفرع على قرار جديد جرى فك ترميزه. إنه يمنح الحاوية نافذة أخرى، فيما يبقى الجواب الذي داخلها كما كان.

إذا تكررت لاحقا إخفاقات تنطبق عليها هذه المعالجة، يمكن أن يتكرر المسار نفسه. لا يتضمن هذا الصنف تاريخا مستقلا غير قابل للتعديل يحتفظ بوقت الجواب الناجح الأصلي، ولا حدا مطلقا للعمر محسوبا منه، ولا عدادا يحد مرات التمديد. هذا وصف لحدود الصنف المنشور. لا يثبت أن تطبيقاً يستعمله لم يضف قيودا خارجية مستقلة.

هكذا يمكن أن يبقى عمر السجل منذ آخر تمديد قصيرا، بينما يزداد عمر الجواب منذ آخر نجاح. الدقيقتان ليستا، بمجرد وجودهما في ثابت برمجي، الحد الأقصى لعمر قرار الصلاحية. يجب ألا تختلط مدة التخزين المتجددة بتاريخ آخر تأكيد من المصدر. هذا هو الاستنتاج التقني المركزي، لا إثبات أن رمز وصول بعينه صار غير صالح أو استُخدم بطريقة ممنوعة.

الاختبار يقصد إبقاء العمل مستمرا

في PortalWSClientTest، يبدأ testGetTokenDataReturnsCachedDataWhenRefreshFails بجواب HTTP محاكى ينتج بيانات مصادقة إيجابية. ثم يضع تاريخ التخزين اصطناعيا خمس دقائق في الماضي، ويقدم JSON مشوها في الرد المحاكى التالي. يتوقع الاختبار إعادة الكائن الموثق نفسه وتنفيذ استدعاءي HTTP.

الخمس دقائق هنا قيمة وضعتها تهيئة الاختبار، وليست مدة شوهدت في نظام حقيقي. جرت قراءة الاختبار ولم يجر تشغيله من أجل هذه المقالة. لم يُتصل بأي نقطة تفويض في الإنتاج، ولم تُستخدم بيانات دخول أو رموز حقيقية. مع ذلك يدل ما يتوقعه الاختبار على أن استمرار البيانات القديمة مقصود في هذه الحالة، وليس مجرد احتمال استنتجه القارئ من كتلة استثناء.

الإنصاف يقتضي الاعتراف بهذه النية. قد تكون مهلة السماح وسيلة سليمة لحماية المستخدمين الشرعيين من خلل قصير. لكن المهلة تحتاج بداية يمكن حفظها ونهاية يمكن فرضها، كما تحتاج تحديد العمليات التي يجوز استمرارها. لا تكفي إعادة تاريخ التخزين كي يصبح ما كان جوابا سابقا تفويضا جديدا، حتى إذا كان الهدف تقليل توقف العمل.

وتوجد في الشفرة رسالة تحذير عند استخدام التخزين الممدد مؤقتا. لذلك لا يصح القول إن السلوك بلا إشارة أو غير قابل للملاحظة إطلاقا. يمكن للمشغلين مراقبة التحذير. القيد الأدق هو أن هذه الرسالة لا تضيف إلى الكائن المعاد عمر الجواب الناجح، ولا تجعل المستهلك يعرف تلقائيا إن كانت النتيجة جديدة أم مقبولة ضمن استمرارية متدهورة.

ثلاثة أعمار، لا صلاحية واحدة

يتضمن TokenData حالة المصادقة والرمز والأدوار وحقل الخطأ وipAllowed. لا يعرض تاريخ آخر جواب ناجح، أو تصنيف حداثة، أو علامة استعمال بيانات قديمة بعد فشل التحديث. هذه الحقول وحدها لا تروي تاريخ القرار الذي يحتفظ به الكائن.

ثمة ثلاثة أمور منفصلة: صلاحية الرمز وفق مدته الخاصة، وبقاء السجل داخل نافذة التخزين الحالية، واستمرار الدور نفسه لدى الجهة المصدرة. تحقق أحدها لا يثبت الباقي. ليس تمديد طابع التخزين جوابا عن موعد نفاذ تغيير إداري في الأدوار، كما لا يعني وجود رمز داخل الكائن أن انتهاءه التشفيري جرى فحصه في كل عملية لاحقة.

قد يتحقق التطبيق من انتهاء الرمز، ويفرض قيود عنوان IP، ويحتفظ بتواريخ خارج العميل، أو يطلب تأكيدا إضافيا قبل كتابة حساسة. هذه احتمالات لا تستبعدها الشفرة، لكنها لا تثبتها أيضا. يجب فحص هذه الحلقة بين قيمة العميل وقرار التطبيق النهائي قبل الادعاء بأن أثرها وصل إلى عمل واقعي. عودة كائن إيجابي في اختبار ليست سجلا لعملية غير مأذونة.

الرد المقروء لا يحسم كل مسألة ثقة

ينشئ PortalHttpClient العميل باستخدام TrustAllStrategy وNoopHostnameVerifier. في هذا المساعد، لا يكفي وجود HTTPS وإمكان قراءة المحتوى لإثبات أن هوية مصدر الرد تحققت تشفيريا بواسطة هذا المكوّن. هذه ملاحظة منفصلة ومحدودة عن التنفيذ المنشور، وليست تدقيقا لإعداد TLS في الإنتاج أو دليلا على اعتراض الاتصال.

صلتها بمسألة الزمن واضحة: إذا عرّفنا ساعة «آخر جواب موثوق»، فعلينا أيضا تعريف الجواب الذي يحق له تحريكها. وصول بايتات يمكن فك ترميزها لا يحل، وحده، سؤال الجهة التي قدمتها. لا تثبت هذه القراءة هجوما أو اختراقا، لكنها تبرر أن يشمل عقد الحداثة مصادقة المصدر، لا تاريخ القراءة فقط.

كما ينبغي التمييز بين الإخفاقات. تلتقط readUrlToken استثناءات واسعة وقد تعيد null، بينما تلتقط معالجة الاستمرارية الخارجية IOException. الرد المشوه، وغياب المحتوى، وخطأ النقل ليست أسماء مختلفة لمسار ثبت أنه واحد. لم تُنفذ هنا جميع هذه الحالات، ولا يجوز تحويل الاختبار المرفق إلى ضمان شامل لما يحدث عند كل انقطاع.

قول إن العميل يعمل دائما عندما تتعطل خدمة التفويض يبالغ في دليل الاستمرارية. وقول إن كل عطل يبقي صلاحيات ملغاة يبالغ في دليل الخطر. كلاهما يستبدل حالة محددة بعمومية عن تطبيقات وبيئات غير مفحوصة. الاستنتاج المدعوم هو استمرار الكائن القديم وإعادة توقيت الحاوية في الحالة المختبرة، مع غياب سقف للعمر الأصلي داخل هذا الصنف.

مهلة معلنة بدلا من حداثة مفترضة

يمكن لواجهة أوضح الاحتفاظ بوقت آخر جواب صلاحيات جرى توثيق مصدره وفك ترميزه بنجاح، منفصلا عن وقت آخر لمس للتخزين. تمديد الحاوية لا يغير الوقت الأول. يمكن للنتيجة أن تعرض حالات صريحة: حديثة، مقبولة في مهلة، أو غير متاحة. هذه مقترحات تحريرية، وليست تغييرات أعلنت LACNIC التزامها بها.

يمكن حساب نهاية المهلة من الجواب الموثوق الأصلي، فلا يعيد كل فشل بدءها. ويمكن ربط التسامح بنوع العملية: قراءة قابلة للتراجع ليست بالضرورة مثل تعديل إداري لا يمكن عكس أثره. هذه أمثلة تحليلية لفئات قرار، وليست وظائف لدى LACNIC ثبت استخدامها لهذا المسار. وتستطيع السجلات ربط التحذير بعمر الرد من دون حفظ الرمز الخام أو بيانات الجلسة كاملة.

إن ظهور جواب موثوق جديد ينهي حالة المهلة، والرفض الجديد يظل رفضا. ويجب أن يفصل الاختبار المقترح بين حماية الاستمرارية مرة واحدة وإثبات نهايتها بعد إخفاقات متكررة. الحفاظ على العمر الأصلي هو ما يجعل السياسة قابلة للشرح. لا تحتاج التطبيقات إلى التخلي عن التخزين، بل إلى عدم تسمية الحاوية المتجددة حقا جديدا.

عند تسليم العمل إلى فريق آخر، ينبغي ألا تكفي عبارة «التخزين يعمل» لتفسير الحالة. يحتاج الفريق التالي إلى معرفة وقت آخر جواب موثوق، والعمليات التي يسمح باستمرارها، والموعد الذي تنتهي عنده المهلة. بهذه المعلومات يمكن التمييز بين استعادة المصدر فعلا واستمرار التطبيق اعتمادا على جواب سابق. هذا اقتراح لعقد تشغيلي أوضح، وليس وصفا لممارسات جرى فحصها في مؤسسة بعينها.

كما أن عدم التوافر لا يساوي إلغاء الحق. الأول يتعلق بقدرة التحقق في اللحظة الحالية، والثاني بقرار صاحب السلطة، والمهلة بسياسة محلية تقبل جوابا قديما بشروط. عرض الحالات منفصلة يسمح بتقييم مصلحة الاستمرارية من دون ادعاء تأكيد لم يحدث. ويمكن للجهة المسؤولة عندئذ اختيار قيود مختلفة لعمليات مختلفة، بدلا من أن يختار timestamp واحد معنى مشتركا لكل تلك القرارات.

المصادر

المصادر الأولية الخمسة المرتبطة أعلاه هي README وPortalWSClient وPortalWSClientTest وTokenData وPortalHttpClient في الالتزام نفسه. تدعم قراءة الشفرة والسيناريو المحاكى فقط. لا تثبت تشغيل الاختبارات، أو الانتشار في الإنتاج، أو تجاوز إلغاء الصلاحيات، أو اختراق الرموز، أو وقوع عمل من دون إذن.