wasmCloud Capabilities

在 wasmCloud 主机运行时，每个组件都会安全地声明它所需的集合。此库用于嵌入、提取和验证包含这些能力声明的 JSON Web Tokens（JWT），以及 wasm 文件的哈希和用于验证模块来源的可证明发行者。

如果您想使用允许您签名和检查模块声明的 CLI，则可以安装 wash CLI 并使用 wash claims 命令集。 请注意，早期版本的 wascap 附带 CLI。这已不再可用，并由 wash CLI 取代。

虽然库中已经定义了一些标准、众所周知的声明（例如 wasmcloud:messaging 和 wasmcloud:keyvalue），但您可以在自己的命名空间中添加自定义声明。

以下示例说明了将一组新声明嵌入 WebAssembly 模块，然后提取、验证和检查这些声明的过程。

use wascap::prelude::*;

let unsigned = read_unsigned_wasm(); // Read a Wasm file into a byte vector
let issuer = KeyPair::new_account(); // Create an Ed25519 key pair to sign the module
let module = KeyPair::new_module(); // Create a key pair for the module itself

// Grant the module some basic capabilities, with no date limits
let claims = ClaimsBuilder::new()
    .with_capability(caps::MESSAGING)
    .with_capability(caps::KEY_VALUE)
    .issuer(&issuer.public_key())
    .subject(&module.public_key())
    .build();

// Sign the JWT and embed it into the WebAssembly module, returning the signed bytes
let embedded = wasm::embed_claims(&unsigned, &claims, &issuer)?;

// Extract a signed JWT from a WebAssembly module's bytes (performs a check on
// the signed module hash)
let extracted = wasm::extract_claims(&embedded)?.unwrap();

// Validate dates, signature, JWT structure, etc.
let v = validate_token(&extracted.jwt)?;

assert_eq!(v.expired, false);
assert_eq!(v.cannot_use_yet, false);
assert_eq!(v.expires_human, "never");
assert_eq!(v.not_before_human, "immediately");
assert_eq!(extracted.claims.issuer, issuer.public_key());

Ed25519 密钥功能由 nkeys crate 提供。

wash CLI 允许您从终端提示符检查和签名 WebAssembly 文件。

 $ wash claims inspect echo_s.wasm

                               Echo - Module
  Account       ACM7TOENKEIO6Q6J66FX53AKXRHH6TH2WZ6K6SZQULNSWLDUIQHSRRSS
  Module        MC2N2ERC4J7GGMVEMH2TYY73YXYZT2BJK2VGFNYWV26K3KOSVALIFUIB
  Expires                                                          never
  Can Be Used                                                immediately
  Version                                                       None (0)
  Call Alias                                                   (Not set)
                               Capabilities
  HTTP Server
                                   Tags
  None