lerufic/heimdall

Heimdall HTTP审批平台

Heimdall是一个基于Next.js 16构建的安全、基于角色的HTTP请求管理与执行平台。它作为敏感内部API请求的中间审批层，要求指定审批者在请求实际执行到后端网络前审核其payload。

🌟核心功能

• 灵活认证: 通过简单的AUTH_MODE开关，原生支持传统Active Directory/LDAP和现代企业SSO（如Google、Keycloak、Auth0的OpenID Connect）。
• 基于角色的访问控制(RBAC): 用户通过白名单环境约束被严格分类为REQUESTER（请求者）或APPROVER（审批者）。
• 精细的payload构建: 提供完整GUI支持，可映射URL搜索参数、Header键值对（含动态Basic/Bearer Auth注入）及原始JSON体。
• 结构化JSON审计追踪: 零依赖元数据扁平化日志器将所有端点生命周期的非嵌套JSON字符串输出到stdout，可直接对接Datadog、ELK或Loki等监控系统。
• 请求克隆: 从仪表盘原生克隆并修改现有/历史请求为新草稿。
• 执行遥测: 审批通过的请求成功执行后，原始payload响应及通过performance.now()映射的网络延迟会永久附加到工单，供事后检查。

🛠技术栈

• 框架: Next.js 16（App Router + React）
• 样式: Tailwind CSS
• 数据库: Prisma ORM（默认SQLite，可替换为Postgres/MySQL）
• 认证: 双模式引擎，使用ldap-authentication处理Active Directory，通过fetch()+jose原生验证OAuth2（OIDC）JWT。

🚀Docker生产部署

构建镜像

bash
docker build -t heimdall-platform .

运行容器

bash
docker run -p 3000:3000 --env-file .env -d heimdall-platform

环境变量配置示例（.env文件）

env
# 数据库配置
DATABASE_URL="file:./dev.db"

# 认证模式（可选LDAP或SSO）
AUTH_MODE="LDAP"

# LDAP配置（AUTH_MODE=LDAP时生效）
MOCK_LDAP="true" # 设为false绑定真实LDAP实例
LDAP_URL="ldap://your-server:389"
LDAP_SEARCH_FILTER="(|(sAMAccountName=%s)(userPrincipalName=%s))"

# OIDC配置（AUTH_MODE=SSO时生效）
OAUTH_CLIENT_ID="your-client-id"
OAUTH_CLIENT_SECRET="your-client-secret"
OAUTH_AUTH_URL="https://accounts.google.com/o/oauth2/v2/auth"
OAUTH_TOKEN_URL="https://oauth2.googleapis.com/token"
OAUTH_REDIRECT_URI="http://localhost:3000/api/auth/callback"

# 审批者白名单
APPROVERS="admin,supervisor.name"

🔒安全说明

• 会话完整性: 系统全局安全管理无状态会话Cookie。
• 环境严格性: 除非设置FORCE_HTTPS=true，开发环境会跳过Cookie的"Secure"标志，允许跨IP网络的本地基础设施托管。
• HMR严格性: Turbopack固有隔离socket头，若在网络上开发，next.config.ts会动态扫描节点硬件IP路径以允许VM阵列上的热重载。