深入理解onury/accesscontrol项目：访问控制核心概念解析-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00512/article/details/148889711

深入理解onury/accesscontrol项目：访问控制核心概念解析

accesscontrol Role and Attribute based Access Control for Node.js 项目地址: https://gitcode.com/gh_mirrors/ac/accesscontrol

什么是访问控制？

在信息安全领域，访问控制是指对资源的访问进行选择性限制的安全机制。onury/accesscontrol项目作为一个JavaScript访问控制库，通过以下方式实现了这一概念：

将访问行为定义为"动作"(actions)
在应用程序逻辑与请求的资源/动作之间提供抽象层

核心概念解析

动作(Action)详解

accesscontrol将访问行为定义为CRUD四种基本动作：

CREATE：创建资源
READ：读取资源
UPDATE：更新资源
DELETE：删除资源

这些动作与实际操作的常见对应关系如下：

| accesscontrol | HTTP方法 | 数据库操作 | |--------------|---------|-----------| | CREATE | POST | INSERT | | READ | GET | SELECT | | UPDATE | PUT/PATCH | UPDATE | | DELETE | DELETE | DELETE |

但值得注意的是，这些动作可以根据业务场景灵活映射：

CREATE可能代表发送短信
READ可能代表文件下载
DELETE可能在数据库中实现为UPDATE操作（如软删除）

资源(Resource)深度理解

资源是被访问的独特实体，其具体实现取决于开发者的设计决策。在定义资源时需要考虑：

语义上的唯一性（区别于其他资源）
是否需要独立的访问控制

示例场景分析：假设有一个账户管理系统，包含以下字段：

firstName
lastName
email
pwd

根据业务需求，可以将资源划分为：

account：可自由修改firstName和lastName
credentials：修改email和pwd需要验证当前密码

对应的权限配置示例：

ac.grant('user')
  .createAny('account')
  .updateOwn('account', ['*', '!pwd', '!email'])
  .updateOwn('credentials')

资源定义机制

在accesscontrol中，资源是在首次为其授予或拒绝权限时隐式定义的：

ac.can('monkey').createOwn('banana').granted // false
ac.hasResource('banana') // false
ac.grant('monkey').createOwn('banana') // 首次定义资源
ac.hasResource('banana') // true
ac.can('monkey').createOwn('banana').granted // true

数据库集成实践

accesscontrol与数据库系统无关，开发者需要自行处理应用逻辑与权限的映射关系。

典型案例：用户分配文件夹权限

数据库表结构：

users
folders
folderUsers（关联表，含folderId和userId）

权限设计方案：

| 权限类型 | 含义 | |---------|------| | createOwn | 将自己的文件夹分配给任意用户 | | createAny | 将任意文件夹分配给任意用户 |

配置示例：

ac.grant('user').createOwn('fu-relation')
   .grant('admin').createAny('fu-relation')

权限检查逻辑：

// 检查createAny权限
let permission = ac.can(role).createAny('fu-relation')

if (!permission.granted) {
    // 检查文件夹所有权
    if (session.userId === getFolder(folderId).userId) {
        permission = ac.can(role).createOwn('fu-relation')
    }
}

if (permission.granted) {
    // 执行数据库操作
} else {
    // 拒绝访问
}