诚心请教: 如何优雅的实现对数据的权限控制?

[igeeky]

我实现了一个RBAC的权限系统. 它能很好的对 api 接口的权限进行控制. 具体功能及实现请参考这里: https://github.com/iGeeky/wolf/blob/master/README-CN.md

我现在想添加数据的权限控制, 如下下面一个例子:

• 用户 A只能查询及审核属于自己业务范围的视频数据(比如通过 tag 区分)

目前的 RBAC 只能实现, 如果给了用户 A查询及审核视频的权限, 也就对所有视频都有了相应权限.

我考察了一下, 感觉使用ABAC实现对数据的访问控制, 可能是一个比较常用的方法, 比如上面的例子中, 可以定义这样的策略:

测试数据:

用户: {用户名: 用户 A, 角色: 短视频审核员, 部门: 运营 1 组, ...}
视频: {标题: 短视频, TAG: 短视频, ...}

策略(这里不是严格按照 ABAC 或 RBAC 的架构及概念来描述的):

用户: 用户.角色 = 短视频审核员
资源: 视频
动作: 读取,审核
匹配策略: 视频.TAG = 短视频

如果在业务系统内实现上面的逻辑, 应该是比较好实现这样一套控制策略的. wolf 的架构是与业务系统完全解耦的, 它是在 http 代理层实现的. 因此在目前 wolf 中实现却有一些难题:

• 视频信息并不在 wolf 系统中,所以也拿不到视频的 TAG 信息. Wolf 也不希望读取业务系统数据.
• 视频的读取及审核操作是在业务系统中实现的, Wolf 并不能直接控制.

对于以上问题, 大家有什么好的解决方案没?

[37Y37]

@workwonder guardian 的权限控制很细，能到 object 的粒度，也就是说你能给数据库里的每一条数据都单独赋权，这里有篇介绍文章，看看 https://blog.ops-coffee.cn/s/mhmww0p2lhvzofrsfa6s3a

[gaius]

权限系统只做通用的数据范围，架构 /部门这些，与角色组合。 不然我那么多业务系统，都要给你定制 tag/数据集吗。

[KuroNekoFan]

没有实践过，感觉要做细会挺 dirty 的

[igeeky]

@gaius tag 只是举个例子, 它可以是任何字段.

[gmywq0392]

通过 XACML 实现 ABAC 呢

[cnxiaowen]

先用数据表落地用户的数据范围，例如公司、部门、地区、代表处等；然后才能在接口侧校验用户的权限（不是接口权限）

[inwar]

权限系统只能做个粗粒度,具体还要靠业务

[jones2000]

这种具体业务具体分析了， 通用的不好做， 除非你已经有上千个应用场景再使用了， 否在靠自己想出来的应用场景是没有用的。实际情况很复杂，特别是涉及到数据库，不同的 DBA 设计的库都是不一样的。

[igeeky]

@jones2000 嗯, 确实要做好很难.

[levelworm]

可以在数据仓库层次做么

[lihongming]

感觉楼主是想做微服务架构中的 API Gateway 吧？

如果是的话，可以参考一下 AWS，AWS 的各项服务自身只做特别简单的权限控制，复杂控制是靠 Lambda 等其它服务实现的。服务收到请求后先把 Event 发给 Lambda，由 Lambda 返回 true 或者 false，然后再继续，这样就解偶了。

[xuanbg]

@dk7952638 #8 我多年的实践得到的结论也是如此。不过针对具体的业务如果基于组织架构的数据权限控制不能满足需求的话，可单独进行基于用户组的权限设置和控制。

[igeeky]

@lihongming 倒不是做 API Gateway,只做其中的一块: 后台用户的认证及权限管理.
感谢你的建议, 我会了解一下 AWS 的权限实现.