前往小程序,Get更优阅读体验!
立即前往
首页
学习
活动
专区
工具
TVP
发布
社区首页 >专栏 >通用权限系统的架构设计

通用权限系统的架构设计

作者头像
雪碧君
发布2023-02-13 16:00:31
4040
发布2023-02-13 16:00:31
举报

Common Access System Design

最近在优化自己写的APPsite框架,其中一直以来没有妥善解决的权限模块可能是后面拓展出去的比较大的障碍。所以着手重写这个模块。 在现有的框架中ACCESS模块分为两大部分: 系统权限、单位权限两个。

系统权限主要用于验证系统功能是否可以执行。 主要支持了Token作用域验证功能,可以设置有效期、作用域、以及可执行次数。 ACCESS和密码验证不同,并不解决加密解密问题,只是负责一个权限的授予、验证、撤销的功能。

代码语言:javascript
复制
# 例1 手机改密码的流程:  作用域为 resetPassword
用户.发起请求 -> 
权限系统.开始流程 -> 
用户.提交验证 -> 
权限系统.验证(通过/拒绝)并授权(设置有效期) -> 
使用权限(一段时间有效 或 一次性有效)

单位权限类似于虚拟物品的所有权。支持以用户为单位的权限授权。 目前仅支持一种状态即 拥有( 可以访问、读取 ) 而写、删的权限仍然只归属于系统。

代码语言:javascript
复制
# 例2 虚拟商品包年授权:  
用户.发起购买 -> ... -> 支付验证成功 ->
权限系统.添加授权(设置有效期) ->
用户.拥有权限
----
客户端.查询授权 ->
权限系统.验证(通过|拒绝)并返回内容|错误 -> 
客户端.接收反馈 ->
用户.使用权限(获取内容等)

就现有的系统来说,目前在分层次系统权限授权的部分几乎没有支持,现在的实际开发中基本上是以 用户组+程序手动检测 的方式来实现内部控制。这样用户组权限的管理是不开放的、维护成本也很高、每次新增功能的时候 都需要做对应的代码内部控制,总体来说不灵活。 单位权限的部分没有做到真正的内容归属、只有内容读取的能力,这样是不能支持类似于微博这样的应用。另外内容加密的功能也没有从架构的层面解决,需要从底层得到支持。


那么接下来开始架构和功能设计。

基础的权限模型基于RBAC的基于角色访问的权限设计。 同样,系统功能权限和单位权限仍然保持在两个子模块中。同时还需要一个验证模块来支持外部接口。所以这里设计三个子模块

代码语言:javascript
复制
ACCESS 
- operation // 系统权限
- permission // 单位权限
- verify // 验证支持

系统权限的部分 参考RBAC模型 我们还需要一个角色的模块来配合,比较具体的做法是

代码语言:javascript
复制
用户-角色 多对多绑定,角色-权限 多对多绑定

我这里使用的是Group 本质和Role是一样的,名字不同

User

Group

AccessOperation

AccessPermission

AccessVerify

Relation

userid

groupid

operation

userid

origin

itemid

groupid

character

scope

itemid

scope

itemtype

level

expire

itemtype

code

targetid

areaid

status

info

expire

targettype

...

expire

...

relation是通用关系绑定表 不仅限于用户绑定用户组,可以同时处理用户组和权限绑定。 在检测用户权限的时候需要合并 User,Group,AccessOperation,Relation四张表 查询出用户做拥有的所有权限 ( 也可以先在REDIS服务器缓存各个用户组所拥有的权限,因为用户组本身的数量并不会很大,所以此方案非常行得通 ) 之后在函数内部或是初始化时 请求ACCESS系统进行对应权限的认证。

具体的操作中应当一次性取出所有权限数据放置在用户对象中或Redis服务器,避免每一次都去请求数据库服务器。造成io堵塞。

取出的MySQL语句思路是:

代码语言:javascript
复制
SELECT * FROM AccessOperation LEFT JOIN Relation ON AccessOperation.id = Relation.targetid WHERE AccessOperation.status = 0 AND AccessOperation.expire > {$now} AND Relation.targettype = 'AccessOperation' AND Relation.itemtype = 'Group' AND Relation.itemid IN (
    SELECT groupid FROM Group .... # 这里取出用户所拥有的的用户组
)

接下来的工作就比较简单了,这里只给出结构 解释一下这里为什么要多一个scope作用域,主要是为了拓展方便。 这里 可以将 operation * scope 相当于我们拥有了二维的权限管理。 例如 用户修改内容,我们支持两个scope 一个是创作者 owner, 一个是管理者 manager 这样我们就不需要写很长的 OwnerEditContent, ManagerEditContent这样的方式。

代码语言:javascript
复制
class ACCESS{

    private $userid;
    private $operations; # 操作权限数据
    private $permissions; # 所属权数据
    private $tokens; # 访问令牌

    # 基于userid来实例化权限管理  游客默认无权限
    function _construct( string $userid = NULL, string $token = NULL ){  }

/* 权限 */
    # 检查权限
    public function can( string $operation, string $scope = 'common' ){  } 
    # 取消权限
    public function ban( string $operation, string $scope = 'common' ){  }
    # 授予权限
    public function grant( string $operation, string $scope = 'common', int $duration ){  }

/* 验证 */
    # 生成令牌
    public function add( string $scope = 'access', int $duration ){  }
    # 更新令牌
    public function update( string $scope = 'access', int $duration ){  }
    # 查验令牌
    private function check(  ){  }

    # 验证流程开始
    public static function start( string $origin, string $scope, int $duration ){  }
    # 验证安全防护
    public static function gruad( string $origin, string $scope ){  }
    # 验证查验
    public static function verify( string $origin, string $scope, string $code ){  }

/* 所属权 */
    # 检查
    public function have( string $itemid, string $itemtype ){  }
    # 给予
    public function give( string $itemid, string $itemtype, int $duration ){  }
    # 丢弃
    public function drop( string $itemid, string $itemtype ){  }
    # 查看携带信息
    public function info( string $itemid, string $itemtype ){  }

/* 其他 */
    # 清理无效数据
    public function clear( string $mode ){  }

}

一些参考: 权限系统设计模型分析(DAC,MAC,RBAC,ABAC) "推荐"

本文参与 腾讯云自媒体同步曝光计划,分享自作者个人站点/博客。
原始发表:2019-08-19,如有侵权请联系 cloudcommunity@tencent.com 删除

本文分享自 作者个人站点/博客 前往查看

如有侵权,请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ,欢迎热爱写作的你一起参与!

评论
登录后参与评论
0 条评论
热度
最新
推荐阅读
目录
  • Common Access System Design
    • 那么接下来开始架构和功能设计。
    相关产品与服务
    访问管理
    访问管理(Cloud Access Management,CAM)可以帮助您安全、便捷地管理对腾讯云服务和资源的访问。您可以使用CAM创建子用户、用户组和角色,并通过策略控制其访问范围。CAM支持用户和角色SSO能力,您可以根据具体管理场景针对性设置企业内用户和腾讯云的互通能力。
    领券
    问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档