2. 程式人生 > >casbin-許可權管理

casbin-許可權管理

阿新 • • 發佈：2018-12-29

概要

許可權管理幾乎是每個系統或者服務都會直接或者間接涉及的部分. 許可權管理保障了資源(大部分時候就是資料)的安全, 許可權管理一般都是和業務強關聯, 每當有新的業務或者業務變化時, 不能將精力完全放在業務實現上, 許可權的調整往往耗費大量的精力.

其實, 許可權的本質沒有那麼複雜, 只是對訪問的控制而已, 有一套完善的訪問控制介面, 再加上簡單的許可權模型. 許可權模型之所以能夠簡單, 就是因為許可權管理本身並不複雜, 只是在和具體業務結合時, 出現了各種各樣的訪問控制場景, 才顯得複雜.

PERM 模型

PERM(Policy, Effect, Request, Matchers)模型很簡單, 但是反映了許可權的本質 – 訪問控制

  • Policy: 定義許可權的規則
  • Effect: 定義組合了多個 Policy 之後的結果, allow/deny
  • Request: 訪問請求, 也就是誰想操作什麼
  • Matcher: 判斷 Request 是否滿足 Policy

PERM 模型

casbin 許可權庫

casbin 使用了 PERM 模型來表達許可權, 並且提供了簡單直接的 API.

核心概念

model file

用來定義具體的許可權模型, 目前支援的模型基本覆蓋了常見的所有場景:

  1. ACL
  2. ACL with superuser
  3. ACL without users
  4. ACL without resources
  5. RBAC
  6. RBAC with resource roles
  7. RBAC with domains/tenants
  8. ABAC
  9. ……

model file 定義語法

casbin 是基於 PERM 的, 所有 model file 中主要就是定義 PERM 4 個部分.

  1. Request definition

    [request_definition]
r = sub, obj, act

    分別表示 request 中的

    • accessing entity (Subject)
    • accessed resource (Object)
    • the access method (Action)

  2. Policy definition

    [policy_definition]
p = sub, obj, act
p2 = sub, act

    定義的每一行稱為 policy rule, p, p2 是 policy rule 的名字. p2 定義的是 sub 所有的資源都能執行 act

  3. Policy effect

    [policy_effect]
e = some(where (p.eft == allow))

    上面表示有任意一條 policy rule 滿足, 則最終結果為 allow

  4. Matchers

    [matchers]
m = r.sub == p.sub && r.obj == p.obj && r.act == p.act

    定義了 request 和 policy 匹配的方式, p.eft 是 allow 還是 deny, 就是基於此來決定的

  5. Role

    [role_definition]
g = _, _
g2 = _, _
g3 = _, _, _

    g, g2, g3 表示不同的 RBAC 體系, _, _ 表示使用者和角色 _, _, _ 表示使用者, 角色, 域(也就是租戶)

policy file

定義具體的策略, 許可權的檢查就是基於定義的 model file 和 policy file 來完成的.

相對於 model file 定義規則, policy file 中定義的就是具體的內容.

RBAC 示例

定義 model file

[request_definition]
r = sub, obj, act

[policy_definition]
p = sub, obj, act

[role_definition]
g = _, _

[policy_effect]
e = some(where (p.eft == allow))

[matchers]
m = g(r.sub, p.sub) && r.obj == p.obj && r.act == p.act

定義 policy file

p, superAdmin, project, read
p, superAdmin, project, write
p, admin, project, read
p, admin, project, write
p, admin, asse, read
p, admin, asse, write
p, zhuangjia, project, write
p, zhuangjia, asse, write
p, shangshang, project, read
p, shangshang, asse, read

g, quyuan, admin
g, wenyin, zhuangjia

測試程式碼

package rbac

import (
  "fmt"
  "log"

  "github.com/casbin/casbin"
)

func TestRBAC() {
  e := casbin.NewEnforcer("rbac/rbac.conf", "rbac/rbac.csv")

  fmt.Printf("RBAC test start\n") // output for debug

  // superAdmin
  if e.Enforce("superAdmin", "project", "read") {
    log.Println("superAdmin can read project")
  } else {
    log.Fatal("ERROR: superAdmin can not read project")
  }

  if e.Enforce("superAdmin", "project", "write") {
    log.Println("superAdmin can write project")
  } else {
    log.Fatal("ERROR: superAdmin can not write project")
  }

  // admin
  if e.Enforce("quyuan", "project", "read") {
    log.Println("quyuan can read project")
  } else {
    log.Fatal("ERROR: quyuan can not read project")
  }

  if e.Enforce("quyuan", "project", "write") {
    log.Println("quyuan can write project")
  } else {
    log.Fatal("ERROR: quyuan can not write project")
  }

  if e.Enforce("quyuan", "asse", "read") {
    log.Println("quyuan can read asse")
  } else {
    log.Fatal("ERROR: quyuan can not read asse")
  }

  if e.Enforce("quyuan", "asse", "write") {
    log.Println("quyuan can write asse")
  } else {
    log.Fatal("ERROR: quyuan can not write asse")
  }

  // zhuangjia
  if e.Enforce("wenyin", "project", "read") {
    log.Fatal("ERROR: wenyin can read project")
  } else {
    log.Println("wenyin can not read project")
  }

  if e.Enforce("wenyin", "project", "write") {
    log.Println("wenyin can write project")
  } else {
    log.Fatal("ERROR: wenyin can not write project")
  }

  if e.Enforce("wenyin", "asse", "read") {
    log.Fatal("ERROR: wenyin can read asse")
  } else {
    log.Println("wenyin can not read asse")
  }

  if e.Enforce("wenyin", "asse", "write") {
    log.Println("wenyin can write asse")
  } else {
    log.Fatal("ERROR: wenyin can not write asse")
  }

  // shangshang
  if e.Enforce("shangshang", "project", "read") {
    log.Println("shangshang can read project")
  } else {
    log.Fatal("ERROR: shangshang can not read project")
  }

  if e.Enforce("shangshang", "project", "write") {
    log.Fatal("ERROR: shangshang can write project")
  } else {
    log.Println("shangshang can not write project")
  }

  if e.Enforce("shangshang", "asse", "read") {
    log.Println("shangshang can read asse")
  } else {
    log.Fatal("ERROR: shangshang can not read asse")
  }

  if e.Enforce("shangshang", "asse", "write") {
    log.Fatal("ERROR: shangshang can write asse")
  } else {
    log.Println("shangshang can not write asse")
  }
}

多租戶示例

定義 model file

[request_definition]
r = sub, dom, obj, act

[policy_definition]
p = sub, dom, obj, act

[role_definition]
g = _, _, _

[policy_effect]
e = some(where (p.eft == allow))

[matchers]
m = g(r.sub, p.sub, r.dom) && r.dom == p.dom && r.obj == p.obj && r.act == p.act

定義 policy file

p, superAdmin, gy, project, read
p, superAdmin, gy, project, write
p, superAdmin, jn, project, read
p, superAdmin, jn, project, write
p, admin, gy, project, read
p, admin, gy, project, write
p, admin, jn, asse, read
p, admin, jn, asse, write
p, zhuangjia, jn, project, write
p, zhuangjia, gy, asse, write

g, quyuan, admin, gy
g, quyuan, admin, jn
g, wenyin, zhuangjia, gy
g, shangshang, zhuangjia, jn

測試程式碼

package tenants

import (
  "fmt"
  "log"

  "github.com/casbin/casbin"
)

// TestTenants test tenants
func TestTenants() {
  e := casbin.NewEnforcer("tenants/tenants.conf", "tenants/tenants.csv")

  fmt.Printf("RBAC TENANTS test start\n") // output for debug

  // superAdmin
  if e.Enforce("superAdmin", "gy", "project", "read") {
    log.Println("superAdmin can read project in gy")
  } else {
    log.Fatal("ERROR: superAdmin can not read project in gy")
  }

  if e.Enforce("superAdmin", "gy", "project", "write") {
    log.Println("superAdmin can write project in gy")
  } else {
    log.Fatal("ERROR: superAdmin can not write project in gy")
  }

  if e.Enforce("superAdmin", "jn", "project", "read") {
    log.Println("superAdmin can read project in jn")
  } else {
    log.Fatal("ERROR: superAdmin can not read project in jn")
  }

  if e.Enforce("superAdmin", "jn", "project", "write") {
    log.Println("superAdmin can write project in jn")
  } else {
    log.Fatal("ERROR: superAdmin can not write project in jn")
  }

  // admin
  if e.Enforce("quyuan", "gy", "project", "read") {
    log.Println("quyuan can read project in gy")
  } else {
    log.Fatal("ERROR: quyuan can not read project in gy")
  }

  if e.Enforce("quyuan", "gy", "project", "write") {
    log.Println("quyuan can write project in gy")
  } else {
    log.Fatal("ERROR: quyuan can not write project in gy")
  }

  if e.Enforce("quyuan", "jn", "project", "read") {
    log.Fatal("ERROR: quyuan can read project in jn")
  } else {
    log.Println("quyuan can not read project in jn")
  }

  if e.Enforce("quyuan", "jn", "project", "write") {
    log.Fatal("ERROR: quyuan can write project in jn")
  } else {
    log.Println("quyuan can not write project in jn")
  }

  if e.Enforce("quyuan", "gy", "asse", "read") {
    log.Fatal("ERROR: quyuan can read asse in gy")
  } else {
    log.Println("quyuan can not read asse in gy")
  }

  if e.Enforce("quyuan", "gy", "asse", "write") {
    log.Fatal("ERROR: quyuan can write asse in gy")
  } else {
    log.Println("quyuan can not write asse in gy")
  }

  if e.Enforce("quyuan", "jn", "asse", "read") {
    log.Println("quyuan can read asse in jn")
  } else {
    log.Fatal("ERROR: quyuan can not read asse in jn")
  }

  if e.Enforce("quyuan", "jn", "asse", "write") {
    log.Println("quyuan can write asse in jn")
  } else {
    log.Fatal("ERROR: quyuan can not write asse in jn")
  }

  // wenyin
  if e.Enforce("wenyin", "gy", "asse", "write") {
    log.Println("wenyin can write asse in gy")
  } else {
    log.Fatal("ERROR: wenyin can not write asse in gy")
  }

  if e.Enforce("wenyin", "jn", "asse", "write") {
    log.Fatal("ERROR: wenyin can write asse in jn")
  } else {
    log.Println("wenyin can not write asse in jn")
  }

  // shangshang
  if e.Enforce("shangshang", "jn", "project", "write") {
    log.Println("shangshang can write project in jn")
  } else {
    log.Fatal("ERROR: shangshang can not write project in jn")
  }

  if e.Enforce("shangshang", "gy", "project", "write") {
    log.Fatal("ERROR: shangshang can write project in gy")
  } else {
    log.Println("shangshang can not write project in gy")
  }
}

總結

casbin 許可權管理庫比較簡單, 易上手, 但是它的功能卻不簡單, 支援了目前主流的所有許可權管理場景. 在使用上, model file 和 poclicy file 的定義也簡單明瞭, 抽象出了許可權管理最本質的東西.

將具體業務中的許可權要求對映到 casbin 中 model file, 就可以藉助 casbin 的 API, 快速的實現許可權管理.

相關推薦

casbin-許可權管理

概要 許可權管理幾乎是每個系統或者服務都會直接或者間接涉及的部分. 許可權管理保障了資源(大部分時候就是資料)的安全, 許可權管理一般都是和業務強關聯, 每當有新的業務或者業務變化時, 不能將精力完全放在業務實現上, 許可權的調整往往耗費大量的精力. 其實, 許可權的本質沒有那麼複雜, 只是對訪問的控制而已,

PHP -Casbin: 支援 ACL、RBAC、ABAC 多種模型的 PHP 許可權管理框架

PHP-Casbin 是一個用 PHP 語言打造的輕量級開源訪問控制框架（ https://github.com/php-casbin/php-casbin )，目前在 GitHub 開源。PHP-Casbin 採用了元模型的設計思想，支援多種經典的訪問控制方案，如基於角色的訪問控制 RBAC、基於屬性的訪問

Yii-Casbin：在 Yii 裡使用 Casbin，支援 ACL、RBAC多種模型的許可權管理框架

PHP-Casbin 是一個用 PHP 語言打造的輕量級開源訪問控制框架（ https://github.com/php-casbin... )，目前在 GitHub 開源。PHP-Casbin 採用了元模型的設計思想，支援多種經典的訪問控制方案，如基於角色的訪問控

[開源]Gin + GORM + Casbin+vue-element-admin 實現許可權管理系統(golang)

  簡析 基於 Gin + GORM + Casbin + vue-element-admin 實現的許可權管理系統。 基於Casbin 實現RBAC許可權管理。 前端實現： vue-element-admin。 開源地址見文末。   特性 基於 Casbin 的 RBAC

centos下svn分組許可權管理

1、開啟svn安裝目錄。可以通過ps aux|grep svn 查詢svn的安裝目錄 2、編輯svnserve.conf, 基本保留這些內容 [general] anon-access=none auth-access=write password-db=passwd // 這裡可

許可權管理-一級選單-二級選單-三級選單-路徑導航和許可權粒度控制到按鈕級別

許可權管理 RBAC   許可權管理 1. 為什麼要有許可權？   2. 開發一套許可權的元件。為什麼要開發元件？   3. 許可權是什麼？ web 開發中 URL 約等於 許可權   4. 表結構

Linux之組管理和許可權管理【重點】

一、Linux組基本介紹 在linux中的每個使用者必須屬於一個組，不能獨立於組外。在linux中每個檔案 有所有者、所在組、其它組的概念。 1) 所有者 2) 所在組 3) 其它組 4) 改變使用者所在的組 示意圖如下： 二、檔案/目錄 所有者 一般為檔案的

RBAC 許可權管理

RBAC（Role-Based Access Control，基於角色的訪問控制），就是使用者通過角色與許可權進行關聯。簡單地說，一個使用者擁有若干角色，每一個角色擁有若干許可權。這樣，就構造成“使用者-角色-許可權”的授權模型。在這種模型中，使用者與角色之間，角色與許可權之間，一般者是

阿里雲CentOS搭建SVN伺服器及許可權管理

  linux（centos）下SVN伺服器如何搭建?說到SVN伺服器,想必大家都知道,可以是在LINUX下如何搭建SVN伺服器呢?那麼今天給大家分享一下linux（centos）搭建SVN伺服器的思路！    雖然在windows上搭建SVN很簡單,但是效能卻不高,

.NET快速資訊化系統開發框架 V3.2 -> WinForm“組織機構管理”介面組織機構許可權管理採用新的介面，操作許可權按模組進行展示

　　對於某些大型的企業、資訊系統，涉及的組織機構較多，模組多、操作許可權也多，對使用者或角色一一設定模組、操作許可權等比較繁瑣。我們可以直接對某一組織機構進行許可權的設定，這樣設定後，同一組織機構的使用者就可以擁有相應的模組訪問許可權，操作許可權了，這樣也能減輕管理人員的負擔。 　　要啟用組織

hive多linux使用者和許可權管理

linux上增加使用者 useradd –d /home/hdfs/test -m test passwd test 設定密碼 切換到超級使用者 sudo su - hdfs 在hive 客戶端上建立角色 CREATE ROLE role_test; 對建立的角色賦權列如查詢許可權 gran

大資料Hive系列之Hive使用者許可權管理

1. 角色 * 建立角色 create role role_name; * 顯示角色 show roles; * 刪除角色 drop role role_name; 2. 使用者 * 使用者進入admin角色許可權 set hive.users.in.admin.role;

Linux運維入門～6.檔案許可權管理

出於安全的考慮，多使用者作業系統需要具備保障個人隱私和系統安全的機制。在Linux中，無論是文件還是硬體裝置都以檔案的形式存在， 相應地，安全機制也主要表現為對檔案訪問許可權的控制。要保證相應的檔案被可用的使用者操作。 本節就是linux相應的檔案許可權管理。 1.檢視檔案許可權 l

mysql常用運維命令及許可權管理

1. /etc/init.d/mysqld start和mysql_safe --user=mysql &的啟動實質是一樣的 2. /etc/init.d/mysqld stop    一般不用的停止資料庫的方法      kill

mysql資料庫使用者及使用者許可權管理

1、mysql資料庫的許可權 （1）mysql資料庫使用者許可權級別          1）全域性性管理許可權：作用於整個mysql例項級別      &nb

【Shiro許可權管理】1.Shiro簡介

一、簡介 在Web系統中我們經常要涉及到許可權問題，例如不同角色的人登入系統，他操作的功能、按鈕、選單是各不相同的，這就是所謂的許可權。 Apache Shiro是Java的一個安全（許可權）框架，Shiro可以完成認證、授權、加密、會話管理、Web整合、快取等功能。適用於JavaSE和JavaEE

後臺許可權管理專案總結

        最近做了一個後臺的許可權管理專案，沒有用到springSecurity，也沒有用到shiro，純粹是用原生態的寫法做的，有點粗糙，但是思想沒變，這裡記錄一下自己的心得。    &n

許可權管理的三級選單的流程

許可權管理的三級選單的流程   許可權控制 url代表了許可權 表結構（6張表，ORM建立4個類，兩個many2many會自動再生成兩張表） 使用者表 使用者名稱 密碼 多對多 roles(角色)角色表 標題 title 多對多 permission(

原 Java開發企業級許可權管理系統 百度雲盤

推薦 Spring Boot/Cloud /Redis視訊： Java 微服務實踐 - Spring Boot Java 微服務實踐 - Spring Cloud redis高可用視訊 Spring原理解析視訊教程 首先先介紹一下spring secu

Spring Boot + Spring Cloud 實現許可權管理系統 後端篇（十九）：服務消費（Ribbon、Feign）

技術背景 上一篇教程中，我們利用Consul註冊中心，實現了服務的註冊和發現功能，這一篇我們來聊聊服務的呼叫。單體應用中，程式碼可以直接依賴，在程式碼中直接呼叫即可，但在微服務架構是分散式架構，服務都執行在各自的程序之中，甚至部署在不同的主機和不同的地區。這個時候就需要相關的遠端呼叫技術了。 Spring