Vendure电商平台自定义权限开发指南-优快云博客

Vendure电商平台自定义权限开发指南

vendure A headless GraphQL commerce platform for the modern web 项目地址: https://gitcode.com/gh_mirrors/ve/vendure

前言

在现代电商系统开发中，权限控制是保障系统安全的重要环节。Vendure电商平台提供了一套精细化的基于角色和权限的访问控制系统，允许开发者根据业务需求灵活定义各种权限规则。本文将深入讲解如何在Vendure中自定义权限，包括单一定制权限、CRUD操作权限集以及自定义字段权限等场景的实现方法。

权限系统基础概念

在开始自定义权限前，我们需要了解Vendure权限系统的几个核心概念：

权限(Permission): 系统中最小的权限单元，表示执行特定操作的许可
角色(Role): 权限的集合，可以分配给用户
装饰器(@Allow): 用于在GraphQL解析器中声明所需的权限

Vendure内置了丰富的权限枚举，涵盖了常见的CRUD操作，但当我们需要扩展系统功能时，自定义权限就变得必要了。

单一定制权限实现

假设我们正在开发一个库存同步插件，需要创建一个专门用于库存同步的权限。

1. 定义权限

首先创建一个权限定义对象：

import { PermissionDefinition } from '@vendure/core';

export const sync = new PermissionDefinition({
    name: 'SyncInventory',  // 权限名称
    description: '允许通过Admin API同步库存水平'  // 权限描述
});

2. 应用权限控制

在GraphQL解析器中使用@Allow装饰器限制访问：

import { Mutation, Resolver } from '@nestjs/graphql';
import { Allow } from '@vendure/core';
import { sync } from '../constants';

@Resolver()
export class InventorySyncResolver {
    @Allow(sync.Permission)  // 应用权限控制
    @Mutation()
    syncInventory(/* ... */) {
        // 同步库存的实现逻辑
    }
}

3. 注册权限

最后需要在插件配置中注册这个自定义权限：

import { VendurePlugin } from '@vendure/core';
import { InventorySyncResolver } from './api/inventory-sync.resolver';
import { sync } from './constants';

@VendurePlugin({
    // ...其他配置
    configuration: config => {
        config.authOptions.customPermissions.push(sync);
        return config;
    },
})
export class InventorySyncPlugin {}

完成以上步骤后，这个新权限将出现在Admin UI的角色管理界面中，可以分配给特定角色。

CRUD权限集实现

对于需要完整CRUD操作的实体，Vendure提供了CrudPermissionDefinition来简化权限定义。

1. 定义CRUD权限集

以产品评价插件为例：

import { CrudPermissionDefinition } from '@vendure/core';

export const productReviewPermission = new CrudPermissionDefinition('ProductReview');

这将自动创建四个权限：Create、Read、Update和Delete。

2. 在解析器中应用

import { Allow, Transaction } from '@vendure/core';
import { productReviewPermission } from '../constants';

@Resolver()
export class ProductReviewResolver {
    @Allow(productReviewPermission.Read)
    @Query()
    productReviews() { /*...*/ }
    
    @Allow(productReviewPermission.Create)
    @Mutation()
    @Transaction()
    createProductReview() { /*...*/ }
    
    // 其他CRUD操作...
}

3. 注册权限集

@VendurePlugin({
    configuration: config => {
        config.authOptions.customPermissions.push(productReviewPermission);
        return config;
    },
})
export class ProductReviewPlugin {}

自定义字段权限控制

从Vendure 2.2.0开始，可以为自定义字段设置权限控制。例如，限制只有具有产品评价权限的角色才能访问产品的rating字段：

@VendurePlugin({
    configuration: config => {
        config.customFields.Product.push({
            name: 'rating',
            type: 'int',
            requiresPermission: [
                productReviewPermission.Read, 
                productReviewPermission.Update,
            ],
        });
        return config;
    },
})
export class ProductReviewPlugin {}