如何避免從LMS啓動xAPI包時暴露LRS憑證

Question

我正在構建xAPI兼容LMS，使用https://learninglocker.net/作爲我們的LRS。管理員可以上傳包含xAPI包的zip文件。 LMS將解壓縮它，查找啓動文件，並允許用戶啓動該URL，爲我們的LRS傳遞憑據作爲查詢參數。然後，該軟件包可以將所需的任何內容直接發送到我們的LRS，而無需LMS控制它。

此外，由於LRS憑證在網址中處於普通視圖，因此精通技術的用戶可以使用它們將任何他們想要的記錄寫入LRS。

避免這種情況的標準方法是什麼？目前我能想到的唯一解決方案是不讓軟件包訪問我們的LRS，而是通過我們的LMS將所有請求代理給我們的LRS，並讓軟件包訪問該代理端點。

有沒有更好的方法？

Answer 1

代理方法應該起作用，並且是LRS中最小的負擔。

在我們的實現中，我們使用自動生成的短期（可配置）令牌，該令牌對LRS的權限有限。這自然需要LRS實現一個允許這樣的事情的權限模型，我不知道Learning Locker是否會（或將會）。在這種設置中，用戶仍然可以直接訪問LRS，但由於訪問的限制，風險很低。

我的其他建議是查看cmi5而不是實施錫罐啓動指導原則（推測可能是您找到的指導原則）。這對LRS權限模型沒有幫助，但更多的是標準路徑，特別適用於LMS模型中基於xAPI的內容。