文章目录

基于角色的访问控制,英文是 Role-Based Access Control,简称 RBAC。它通过建立用户与角色的对应关系,使得每个用户可以拥有多个角色,每个角色可以拥有多个权限。基于角色的访问控制会定义多个不同的角色,不同角色实际上就是一个权限的集合。基于角色的访问控制中,不同角色之间具有高低之分,高权限角色可以访问低权限角色的资源,但是低权限角色往往不能访问高权限角色的资源。举个例子,一个教育性质的作业系统中存在老师角色与学生角色,老师角色与学生角色都具有查看作业的权限,但是学生角色不具有审批作业的权限,只有老师角色才具有审批作业的权限,如果学生角色可以进行这个操作,那么可能存在越权访问。同时,基于角色的访问控制遵守最小特权,应该授予所需要的完成其任务的最小角色,这样可以防止用户干坏事。

RBAC 是一种“用户-角色-权限”的授权模型,主要分为 RBAC0 基本模型、RBAC1 角色的分层模型、RBAC2 约束模型、RBAC3 统一模型。其中,RBAC0 是 RBAC 的核心,包括用户、角色、权限和会话。RBAC1 基于 RBAC0 进行扩展,是 RBAC 的角色分层模型,引入角色继承概念。RBAC2 基于 RBAC0 进行扩展,引入互斥角色的限制,互斥角色是指各自权限互相制约的两个角色,此外,还约束一个用户拥有的角色是有限的,一个角色拥有的权限是有限的,以及想要获取较高权限,首先需要拥有一个低级权限。RBAC3 基于 RBAC0 的基础上,将 RBAC1 和 RBAC2 进行整合,因此 RBAC3 是一种既有角色分层又有约束的一种模型。

本文主要基于 RBAC0 基本模型进行介绍“用户-角色-权限”的授权模型。基于角色的访问控制通过建立用户与角色的对应关系,使得每个用户可以拥有多个角色,每个角色可以拥有多个权限。

其中,权限限制了用户所能进行的相关操作。举个例子,一个教育性质的作业系统中存在老师角色与学生角色,学生角色具有查看作业与写作业的权限,老师角色具有查看作业与审批作业的权限,因此具有学生角色的用户是不能进行审批作业的操作。权限可以作用于菜单、API 接口、文件等资源。

在用户量大的情况下,可以对用户进行分组。此时,用户组拥有一个角色,那么用户组内的所有用户都将拥有这个角色。换句话说,引入用户组的概念后,可以建立用户组与角色的对应关系,那么用户组内的所有用户都会间接地与角色发生关系。

在实际业务开发过程,Java 语言中的 Spring Security 与 Apache Shiro 都可以建立基于角色的访问控制。这里,演示了 Spring Security 的权限拦截配置,其中设置不同角色对 URL 地址的访问权限。

@EnableWebMvcSecurity
public class ApiSecurityConfig {
    @Override
    protected void onConfigure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            // 匹配"/students/**"的所有 GET 操作,无需要任何身份认证
            .antMatchers(HttpMethod.GET, "/students/**").permitAll()
            // 匹配"/students/**"的所有 POST 操作,需要用户拥有 teacher 角色
            .antMatchers(HttpMethod.POST, "/students/**").hasAuthority("teacher")
            // 匹配"/students/**"的所有(其他)操作,需要用户拥有 admin 角色
            .antMatchers("/students/**").hasAnyAuthority("admin");
            // 其他的 URL 地址均需要加身份认证
            .antMatchers("/**").anonymous().anyRequest().authenticated();
    }

    @Override
    public void configure(WebSecurity web) throws Exception {
    }
}

总结下,基于角色的访问控制,通过建立用户与角色的对应关系,使得每个用户可以拥有多个角色,每个角色可以拥有多个权限。用户根据拥有的角色进行操作与资源访问。

(完)

微信公众号

文章目录