了解一下Node.js Casbin-木庄网络博客

本文摘自PHP中文网，作者青灯夜游，侵删。

【视频教程推荐：nodejs 教程】

概述

Casbin 是一个强大的、高效的开源访问控制框架，其权限管理机制支持多种访问控制模型。

Casbin 是什么？

Casbin 可以：

支持自定义请求的格式，默认的请求格式为{subject, object, action}。
具有访问控制模型model和策略policy两个核心概念。
支持RBAC中的多层角色继承，不止主体可以有角色，资源也可以具有角色。
支持超级用户，如 root 或 Administrator，超级用户可以不受授权策略的约束访问任意资源。
支持多种内置的操作符，如 keyMatch，方便对路径式的资源进行管理，如 /foo/bar 可以映射到 /foo*

Casbin 不能：

身份认证 authentication（即验证用户的用户名、密码），casbin只负责访问控制。应该有其他专门的组件负责身份认证，然后由casbin进行访问控制，二者是相互配合的关系。
管理用户列表或角色列表。 Casbin 认为由项目自身来管理用户、角色列表更为合适，用户通常有他们的密码，但是 Casbin 的设计思想并不是把它作为一个存储密码的容器。而是存储RBAC方案中用户和角色之间的映射关系。

文档

casbin.org/docs/en/overview

安装

1	`# NPMnpm install casbin --save# Yarnyarn add casbin`

开始吧

创建 Casbin enforcer 需要一个模型文件和策略文件作为参数：

1	`import { newEnforcer } from` `'casbin';const` `enforcer = await newEnforcer('basic_model.conf',` `'basic_policy.csv');`

您也可以用 DB 而不是文件中的策略来初始化 enforcer，详情请参阅适配器。

const sub = 'alice'; // 想要访问资源的用户。const obj = 'data1'; // 将要访问的资源。const act = 'read'; // 用户对资源执行的操作。const res = await enforcer.enforce(sub, obj, act);if (res) {
  // 允许 alice 读取数据1} else {
  // 拒绝请求，显示错误}

除了静态策略文件外，node-casbin 还提供了用于在运行时进行权限管理的API，例如，您可以获得如下分配给用户的所有角色：

1	`const` `roles = await enforcer.getRolesForUser('alice');`

请参阅 Management API and RBAC API 以获取更多使用方式。

工作原理

在 Casbin 中, 访问控制模型被抽象为基于 PERM (Policy, Effect, Request, Matcher) 的一个文件。因此，切换或升级项目的授权机制与修改配置一样简单。您可以通过组合可用的模型来定制您自己的访问控制模型。例如，您可以在一个model中获得RBAC角色和ABAC属性，并共享一组policy规则。

Casbin中最基本、最简单的model是ACL。ACL中的model CONF为:

# Request definition[request_definition]r = sub, obj, act
 
# Policy definition[policy_definition]p = sub, obj, act
 
# Policy effect[policy_effect]e = some(where (p.eft == allow))# Matchers[matchers]m = r.sub == p.sub && r.obj == p.obj && r.act == p.act

ACL model的示例policy如下: