在Egg.js中实施权限管理：RBAC的应用

2023-10-17 23:58:15

什么是RBAC？

基于角色的访问控制（RBAC）是一种广泛应用于软件系统中的安全管理模型。这种模型允许通过将用户分配到一个或多个角色来实现对资源的精细访问控制。每个角色都有特定的权限，只有拥有适当角色的用户才能执行某些操作。

建立权限模型

在Egg.js应用中实施RBAC需要定义好权限和角色模型。首先，要设计数据库表结构以存储角色、权限以及用户与角色的关系。

权限（Permission）模型

module.exports = app => {
  const { STRING, INTEGER } = app.Sequelize;

  return app.model.define('permission', {
    id: { type: INTEGER, primaryKey: true, autoIncrement: true },
    name: { type: STRING(100), allowNull: false, unique: true },
    description: { type: STRING(255) },
  });
};

角色（Role）模型

module.exports = app => {
  const { STRING, INTEGER } = app.Sequelize;

  return app.model.define('role', {
    id: { type: INTEGER, primaryKey: true, autoIncrement: true },
    name: { type: STRING(100), allowNull: false, unique: true },
    description: { type: STRING(255) },
  });
};

用户-角色关联

module.exports = app => {
  const User = app.model.User;
  const Role = app.model.Role;

  User.belongsToMany(Role, { through: 'user_role' });
  Role.belongsToMany(User, { through: 'user_role' });

  return app.model.sync();
};

集成RBAC到Egg.js应用

权限和角色关联

在实施RBAC时，权限和角色之间的关系是关键。使用多对多关联模型可以实现这种灵活的关联。

module.exports = app => {
  const { STRING, INTEGER } = app.Sequelize;

  return app.model.define('role_permission', {
    role_id: {
      type: INTEGER,
      references: {
        model: 'role',
        key: 'id',
      },
    },
    permission_id: {
      type: INTEGER,
      references: {
        model: 'permission',
        key: 'id',
      },
    },
  });
};

中间件实现权限检查

为了在Egg.js应用中实现RBAC，需要创建一个中间件来检查用户是否有执行特定操作的权限。

module.exports = (app) => {
  return async function checkPermission(ctx, next) {
    const userId = ctx.state.user.id;
    const roleIds = await ctx.model.User.getRoleIds(userId);
    let hasPermission = false;

    for(const roleId of roleIds){
      const permissions = await ctx.model.Role.getPermissions(roleId);

      if(permissions.some(permission => permission.name === 'some_permission_name')){
        hasPermission = true;
        break;
      }
    }

    if(hasPermission) {
      return next();
    } else {
      ctx.status = 403;
      ctx.body = { message: "无权访问" };
    }
  }
}