[Question] why download file when starting server？

[ingla9988]

Problem Type (问题类型)

other exception / error (其他异常报错)

Before submit

• 我已经确认现有的 Issues 与 FAQ 中没有相同 / 重复问题 (I have confirmed and searched that there are no similar problems in the historical issue and documents)

Environment (环境信息)

Server Version: 1.0.0 (Apache Release Version)
Backend: pg
OS: k8s部署，使用的是官方的1.0.0镜像

Your Question (问题描述)

我发现服务器启动的时候，会wget https://github.com/apache/hugegraph-doc/raw/binary-1.0/dist/server/hugegraph-server.keystore ，但是我的网络连接github有问题，导致启动一直卡在这里
为什么要这么设计呢？ 能否把hugegraph-server.keystore直接放到安装包里面

root 1 0 0 02:46 ? 00:00:00 /usr/bin/dumb-init -- ./bin/start-hugegraph.sh -d false -j $JAVA_OPTS -g zgc
root 8 1 0 02:46 ? 00:00:00 /bin/bash ./bin/start-hugegraph.sh -d false -j $JAVA_OPTS -g zgc
root 36 8 0 02:46 ? 00:00:00 /bin/bash /hugegraph/bin/hugegraph-server.sh /hugegraph/conf/gremlin-server.yaml /hugegraph/conf/rest-server.properties true
root 43 36 0 02:46 ? 00:00:00 wget https://github.com/apache/hugegraph-doc/raw/binary-1.0/dist/server/hugegraph-server.keystore -P /hugegraph/conf -q --show-progress
root 44 0 0 03:01 pts/0 00:00:00 bash
root 61 44 0 03:09 pts/0 00:00:00 ps -ef

Vertex/Edge example (问题点 / 边数据举例)

No response

Schema [VertexLabel, EdgeLabel, IndexLabel] (元数据结构)

No response

[dosubot]

🤖

你好 @ingla9988! 👋 我是Dosu，一个友好的机器人，我在这里为你提供帮助，解决你的问题，直到有人类的维护者来接手。我可以帮你解决问题和回答你的疑问。我在你等待人类维护者的时候会陪伴你，希望这一点能让你感到高兴。😊

服务器在启动过程中需要从GitLab下载 'hugegraph-server.keystore' 文件，因为它是用于SSL/TLS通信的必要文件。这个文件包含了服务器的私钥和服务器公钥的证书链，用于在服务器和客户端之间建立安全连接。

脚本会检查 'hugegraph-server.keystore' 文件是否存在于服务器的配置目录中。如果不存在，脚本会从GitLab下载它：

# download binary file
if [[ ! -e "${CONF}/hugegraph-server.keystore" ]]; then
    download "${CONF}" "https://github.com/apache/hugegraph-doc/raw/binary-1.0/dist/server/hugegraph-server.keystore"
fi

将 'hugegraph-server.keystore' 文件包含在安装包中可以避免在启动过程中下载，但这种做法有安全隐患，因为私钥应该保密。如果每个安装包都包含相同的 'hugegraph-server.keystore' 文件，那么所有安装的服务器实例都会有相同的私钥，这是一个安全风险。

更好的解决方案是在安装过程中为每个服务器生成新的 'hugegraph-server.keystore' 文件。这需要一种安全的方法来生成和存储私钥和证书链。这种方法需要集成到安装过程中，并确保在服务器启动前在服务器的配置目录中创建 'hugegraph-server.keystore' 文件。

至于在incubator-hugegraph代码库中是否有在安装过程中生成新的 'hugegraph-server.keystore' 文件的方法，答案是没有。'hugegraph-server.keystore' 文件在 ServerOptions.java 文件的 'SSL_KEYSTORE_FILE' 配置选项中被引用：

public static final ConfigOption<String> SSL_KEYSTORE_FILE =
        new ConfigOption<>(
                "ssl.keystore_file",
                "The path of server keystore file used when https " +
                "protocol is enabled.",
                disallowEmpty(),
                "conf/hugegraph-server.keystore"
        );

这个配置选项只指定了当启用HTTPS协议时的密钥库文件路径，它并未提供生成新的密钥库文件的功能。

密钥库文件通常是使用keytool手动生成的，keytool是随Java开发工具包(JDK)附带的一个密钥和证书管理工具。

参考资料：

• hugegraph-server/hugegraph-dist/src/assembly/static/bin/hugegraph-server.sh
• hugegraph-server/hugegraph-api/src/main/java/org/apache/hugegraph/config/ServerOptions.java

Sources

• hugegraph-server/hugegraph-dist/src/assembly/static/bin/hugegraph-server.sh
• hugegraph-server/hugegraph-api/src/main/java/org/apache/hugegraph/config/ServerOptions.java

---

This response is meant to be useful and save you time. It is not meant to be a precise solution, but rather a starting point for your own research.

Help me be more useful! Please leave a 👍 if this is helpful and 👎 if it is irrelevant.

If you want to continue the conversation, start your reply with @dosu-bot.

[imbajin]

@zyxxoo changed this due to ASF rules: Binary files that are prohibited from carrying no clear source license

So we have to move it to hugegraph-website repo & download it to avoid breaking the rule.

#2403 enhance the cmd check script, and we could continue to optimize it @aroundabout (replace wget to curl as the 1st priority, pre-download it in docker mode... etc.)