Permify项目实战：构建端到端授权系统全流程指南-优快云博客

Permify项目实战：构建端到端授权系统全流程指南

permify Permify is an open-source authorization service inspired by Google Zanzibar. 项目地址: https://gitcode.com/gh_mirrors/pe/permify

引言

在现代应用开发中，权限管理是确保系统安全的关键环节。Permify作为一款强大的授权服务，通过关系型访问控制（ReBAC）模型，帮助开发者构建灵活、可扩展的权限系统。本文将带您从零开始，使用Permify构建一个完整的端到端授权系统。

一、Permify项目初始化

1.1 创建Permify云账户

首先需要注册Permify云服务账户，这是使用Permify服务的第一步。注册完成后系统会自动引导您完成组织创建流程。

关键步骤：

填写基本信息完成注册
创建组织（Organization）
系统自动生成Starter项目

提示：Starter项目初始化可能需要几分钟时间，若页面未刷新显示激活状态，可尝试手动刷新。

1.2 客户端集成

成功创建项目后，您会获得两个关键配置信息：

Permify Host：服务端点地址
API Key：用于身份验证的密钥

以下是各语言客户端的初始化示例：

Java客户端

ApiClient apiClient = new ApiClient();
apiClient.setBasePath("<your-permify-endpoint:3476>");
apiClient.addDefaultHeader("Authorization", "Bearer <your-permify-api-key>");

Python客户端

configuration = permify.Configuration(
    host = "<your-permify-endpoint>:3476"
)
api_client = permify.ApiClient(configuration, 
                    header_name="Authorization", 
                    header_value="Bearer <your-permify-api-key>")

Node.js客户端

const interceptor = permify.grpc.newAccessTokenInterceptor("<your-permify-api-key>");
const client = permify.grpc.newClient({
    endpoint: "<your-permify-endpoint:3478>",
    insecure: false
}, interceptor);

1.3 连接测试

建议在集成完成后进行简单的API调用测试，例如列出租户信息，确保连接正常：

api_instance = permify.TenancyApi(api_client)
body = permify.TenantListRequest(page_size=20)
response = api_instance.tenants_list(body)

二、授权策略建模

2.1 核心概念

Permify采用基于关系的访问控制模型（ReBAC），主要包含三个核心概念：

实体（Entities）：系统中的资源对象
关系（Relations）：实体间的关联方式
权限（Permissions）：定义实体可执行的操作

2.2 示例模型解析

我们以一个典型的三层结构为例：

entity user {}

entity organization {
    relation admin @user
    relation member @user
}

entity repository {
    relation parent @organization
    relation owner @user
    
    permission edit = parent.admin or owner
    permission delete = owner
}

实体定义

user：系统用户
organization：组织实体
repository：代码仓库实体

关系定义

组织与用户：admin/member关系
仓库与组织：parent归属关系
仓库与用户：owner拥有关系

权限规则

编辑权限：组织管理员或仓库拥有者
删除权限：仅仓库拥有者

2.3 模型部署

通过Write Schema API将模型部署到Permify服务：

schema = """
entity user {}
entity organization {
    relation admin @user
    relation member @user
}
entity repository {
    relation parent @organization
    relation owner @user
    permission edit = parent.admin or owner
    permission delete = owner
}
"""
body = permify.SchemaWriteBody(schema=schema)
response = api_instance.schemas_write("t1", body)

三、权限数据管理

3.1 关系数据存储

Permify支持两种权限数据存储方式：

关系（Relationships）
属性（Attributes）

本示例主要演示关系数据的存储：

添加管理员关系

将用户1设置为组织1的管理员：

tuples = [permify.Tuple(
    permify.Entity("organization", "organization1"),
    "admin",
    permify.Subject("user", "user1")
)]
body = permify.DataWriteBody(tuples=tuples)
response = api_instance.data_write("t1", body)

四、访问控制检查

4.1 权限验证流程

完成模型定义和数据存储后，即可进行权限验证：

定义检查请求
发送到Permify服务
解析返回结果

4.2 示例检查

验证用户1是否有权编辑仓库1：

check_request = permify.PermissionCheckRequest(
    metadata=permify.PermissionCheckRequestMetadata(
        schema_version=""
    ),
    entity=permify.Entity(
        type="repository",
        id="repository1"
    ),
    permission="edit",
    subject=permify.Subject(
        type="user",
        id="user1"
    )
)
response = api_instance.permissions_check("t1", check_request)

返回结果中的can字段表示是否具有权限：