casbin模型又叫PERM模型: subject(sub 访问实体),object(obj访问的资源)和action(act访问方法)eft(策略结果,一般为空 默认指定allow)还可以定义为deny
1、策略一般存储到数据库,因为会有很多
2、
[policy_definition] p = sub, obj, act
1、
m = r.sub == p.sub && r.act == p.act && r.obj == p.obj
2、r 请求 p 策略
3、这时候会把r和p按照上述描述进行匹配,从而返回匹配结果(eft)如果不定义会返回allow,如果定义过了,会返回我们定义过的那个结果
e = some(where(p.eft == allow)) 这种情况下我们的一个matches匹配完成,得到了allow那么这条请求将被放行
e = some(where(p.eft == allow)) && !some(where(p.eft == deny))
这里的规定是定死的
运行这个run the test,可以发现,为true。因为在第一行,alice有读的操作。(见图一)但是我们将read改为write,返回的就是false。(见图二)
(图一)
(图二)
带角色域匹配,alice可以 == data2_admin使用,alice也可以是他自己
以角色为基础
[request_definition]
r = sub, obj, act
意思:请求入参(实体,资源,方法)
[policy_definition]
p = sub, obj, act
意思:策略(实体,资源,方法)
[role_definition]
g = _ , _
意思:这个情况下,g写什么都可以,毕竟match里面根本没有涉及到g,不过我们规范一点,按照角色权限,这里的意思是g收到两个参数 g = 用户,角色
[policy_effect]
e = some(where (p.eft == allow))
意思:看看经过下面那些匹配规则后的返回值是否有一条等于里面那个allow
[matchers]
m = r.sub == p.sub && ParamsMatch(r.obj, p.obj) && r.act == p.act
意思:进来的实体,资源,方法,能不能在权限表(p)里面找到一个一模一样的
[request_definition] r = sub, dom, obj, act
意思:入参(实体,域【商户】,资源,方法)
[policy_definition] p = sub, dom, obj, act
意思:权限模型(实体,域【商户】,资源,方法)
[role_definition] g = _ , _ , _
意思:域匹配规则,后面g会说,这里意思是g收三个参数
[matchers] m = g(r.sub, p.sub, r.dom) && r.dom == p.dom && r.obj == p.obj && r.act == p.act
先列出来一个权限定义里面的东西
g, qm, teacher, classOne
然后用g做一些解析动作
一般我们会收到前端的入参, 大概是这个样子:“qm",“classOne”,“/base/api/”,“get”
上面我们定义的g就是我们需要的模型,经过g以后,g已经把我们的入参 qm 解析成了 r.sub 为 teacher r.rom 为classone先从这个商户找一下角色,找到就过了,然后用dom去匹配,然后用一个类似于这样的请求,去策略里面找teacher,classOne, /api/base,get
答案:false,根本找不到
答案:true
那假如在添加一条:bob,data2,write可以通过吗?
答案:true,因为bob,data2,write本身就有这一条操作
再添加一条记录,如下图所示
在这个案例中,alice和domain2找到了admin,但是,domain2找不到data1,所以是false
对于g的理解:g:人-组-域,区别看,人可以进多个组多个域,但是data1/data2有不同权限来判断