云原生｜Go-Micro实践中如何进行权限设置？

青旅半醒 2023-10-09 17:26 24阅读 0赞

#### 目录 ####

*  一、权限设计模型
 *  二、权限控制
 *   *  （一）使用Casbin 做基础的权限验证
     *  （二）使用配置文件控制权限的颗粒度

## 一、权限设计模型 ##

本次权限设计使用的模型为RBAC 模型，基于角色的访问控制（Role-Based Access Control）迄今为止最为普及的权限设计模型。  
![在这里插入图片描述][bce1e645e148471f8d2b93411404d5d8.png_pic_center]  
角色连接用户和权限的关系，每个角色可以关联多个权限，一个用户关联多个角色，那么用户就可以拥有多个角色的多个权限。这样做的好处就是引入了“角色”概念后，管理员只需要把角色赋予给用户，那么用户拥有了角色的所有权限，这样设计可以提升了效率，也提高了扩展性。

权限是可访问资源，这个资源包括页面访问的资源，对某一项操作的权限，数据是否可访问权限等。

**//权限设计架构图**

![在这里插入图片描述][e2b81546c44748fb8521dd27dcbd42ec.png_pic_center]

## 二、权限控制 ##

权限控制分为两个部分：

### （一）使用Casbin 做基础的权限验证 ###

Casbin 是一个支持 ACL，RBAC，ABAC 等访问模型，可用于多种语言（如 Golang，Java，C/C++ 等）的授权库。它拥有灵活的策略存储方式，已支持 Mysql，Postgres，Oracle 等数十种数据库。

**Casbin 可以：**

支持自定义请求的格式，默认的请求格式为\{subject, object, action\}。

*  具有访问控制模型model和策略policy两个核心概念。
 *  支持RBAC中的多层角色继承，不止主体可以有角色，资源也可以具有角色。
 *  支持内置的超级用户 例如：root 或 administrator。超级用户可以执行任何操作而无需显式的权限声明。
 *  支持多种内置的操作符，如 keyMatch，方便对路径式的资源进行管理，如 /foo/bar 可以映射到 /foo\*

**Casbin 不能：**

*  身份认证 authentication（即验证用户的用户名和密码），Casbin 只负责访问控制。应该有其他专门的组件负责身份认证，然后由 Casbin 进行访问控制，二者是相互配合的关系。
 *  管理用户列表或角色列表。Casbin 认为由项目自身来管理用户、角色列表更为合适， 用户通常有他们的密码，但是 Casbin 的设计思想并不是把它作为一个存储密码的容器。而是存储RBAC方案中用户和角色之间的映射关系。

基于Casbin权限验证编写成一个API接口,用于验证用户是否有权限访问：

基于Gorm实现Casbin的验证可参考：https://github.com/casbin/gorm-adapter

伪代码可参考：

package main
     
    import (
        "github.com/casbin/casbin/v2"
        gormadapter "github.com/casbin/gorm-adapter/v3"
        _ "github.com/go-sql-driver/mysql"
    )
     
    // 网关中间件中调用Casbin认证
    func gateway(){
        
        ValidationAuthority("alice", "data1", "read")
    }
     
    // 使用Gorm验证访问权限
    func ValidationAuthority(sub string, obj string, act string) {
        
        a, _ := gormadapter.NewAdapter("mysql", "mysql_username:mysql_password@tcp(127.0.0.1:3306)/") // Your driver and data source.
        e, _ := casbin.NewEnforcer("examples/rbac_model.conf", a)
        e.LoadPolicy()
      e.Enforce(sub, obj, act)
        e.SavePolicy()
    }

rbac\_model.conf 可参考 https://github.com/casbin/casbin

在 Casbin 中, 访问控制模型被抽象为基于 PERM (Policy, Effect, Request, Matcher) 的一个配置文件。因此，切换或升级项目的授权机制与修改配置一样简单。您可以通过组合可用的模型来定制您自己的访问控制模型。例如，您可以在一个model中结合RBAC角色和ABAC属性，并共享一组策略规则。

[request_definition]
    r = sub, obj, act
     
    [policy_definition]
    p = sub, obj, act
     
    [role_definition]
    g = _, _
     
     
    [policy_effect]
    e = some(where (p.eft == allow))
     
    [matchers]
    m = g(r.sub, p.sub) && r.obj == p.obj && r.act == p.act

上述文件是Casbin 抽象 RBAC的一个配置文件，Casbin集成了多种角色权限配置，官方提供不同的访问模型策略：https://casbin.org/zh/docs/supported-models  
![在这里插入图片描述][5b425338c2104886b0ebc29ca9535155.png_pic_center]

### （二）使用配置文件控制权限的颗粒度 ###

自定义一个 rule\_config.yaml 文件定义需要操控的接口，get\_app 可以是前端UI组件的别名，也可以是定义的某个组件显示的参数条件，通过key，value 模式来操作UI组件的显示

rule:
        get_app: /api/v1/home/app
        get_defaultApp: /api/v1/home/defaultApp
        get_log: /api/v1/home/log

流程图：  
![在这里插入图片描述][006f9b8be0094b0d8c3e600f6c2b6e7e.png_pic_center]  
返回结构：

1.判断是否是系统管理员(定义部分页面只有系统管理员才能访问，比如角色管理，组管理等)

2.动态菜单，通过可访问权限控制菜单列表的显示

3.权限列表，通过权限列表控制页面中颗粒度较细的UI组件

{
        
      "is_system_admin": false,
        "menus":[
         "id": 1,
         "name": "index",
         "path": "/index"
      ]
      "rule": [
       "get_app",
       "get_log"
      ]
    }

通过配置文件来控制UI界面的组件，这种方式是为了方便后续修改及定义。

以上，就是本次关于Go Micro 项目中权限设置的分享的全部内容了。

***版权声明:本文由神州数码云基地团队整理撰写，若转载请注明出处。  
公众号搜索神州数码云基地，获得更多技术干货内容。***

[bce1e645e148471f8d2b93411404d5d8.png_pic_center]: https://img-blog.csdnimg.cn/bce1e645e148471f8d2b93411404d5d8.png#pic_center
[e2b81546c44748fb8521dd27dcbd42ec.png_pic_center]: https://img-blog.csdnimg.cn/e2b81546c44748fb8521dd27dcbd42ec.png#pic_center
[5b425338c2104886b0ebc29ca9535155.png_pic_center]: https://img-blog.csdnimg.cn/5b425338c2104886b0ebc29ca9535155.png#pic_center
[006f9b8be0094b0d8c3e600f6c2b6e7e.png_pic_center]: https://img-blog.csdnimg.cn/006f9b8be0094b0d8c3e600f6c2b6e7e.png#pic_center