我正准备在我的应用程序中实现一个简化版的基于角色的访问控制，并考虑如何/以什么方式对我的文档存储进行建模，这个文档存储恰好是mongodb，使用mongoose.js作为我的“便利库”。但是这个问题适用于任何文档存储。
在使用文档存储时，决定使用嵌入式对象还是引用对象似乎是一个常见的挑战，因为需要权衡复制与性能等竞争因素。我试图尽可能简单地保持RBAC，并且不过度使用嵌套的集合/Ref IDs，这意味着大量循环，过度使用mongoose的populate等。
问题：
我已经倾向于为用户、权限和角色创建集合；但是将操作和资源建模是否有意义，或者只是使用键/值？
在使用文档存储时，决定使用嵌入式对象还是引用对象似乎是一个常见的挑战，因为需要权衡复制与性能等竞争因素。我试图尽可能简单地保持RBAC，并且不过度使用嵌套的集合/Ref IDs，这意味着大量循环，过度使用mongoose的populate等。
问题：
我已经倾向于为用户、权限和角色创建集合；但是将操作和资源建模是否有意义，或者只是使用键/值？
请参见下面的代码示例或jsfiddle，这应该有助于理解问题。请注意，这并不是我想要实现的方式，只是一种检查关系的方法！
/*
Imagine this being used in a CMS ;)
User: have a role property (e.g. role:"admin" or role:"writer")
Operation: Create,Read,Update,Delete,etc.
Resource: Page,Post,User, etc.
* For simplicity, we can represent operations and resource with simple strings.
Permission: A permission is an allowable "Operation" on a "Resource"
Role: A Role is just an abstraction of a set of possible "Permissions"
*/
// I could see this as a Permission model in mongo
var adminPerms = {
create: ['pages','posts', 'users'],
update: ['posts','pages','users'],
update_others: ['posts','pages'],
delete: ['posts','pages','users'],
read:['pages','posts','users']
};
// I could see this as a Role model in mongo
var admin = {
perms: adminPerms
};
var writerPerms = {
create: ['pages','posts'],
update: ['pages','posts'],
update_others: [],
delete: [],
read:['pages','posts']
};
var writer = {
perms: writerPerms
};
// Now we can just see if that user's perms has the operation on resource defined
function hasPerms(user, operation, resource) {
var i, len, op;
if(!user || !user.role || !operation || !resource) return false;
if(typeof rolemap[user.role] !== 'undefined' &&
typeof rolemap[user.role]['perms'] !== 'undefined' &&
typeof rolemap[user.role]['perms'][operation] !== 'undefined') {
op = rolemap[user.role]['perms'][operation];
for(i=0, len=op.length; i<len; i++) {
if(op[i] === resource) {
return true;
}
}
}
return false;
}
var rolemap = {"admin":admin, "writer":writer}
var user_admin = {name:'Rob Levin', role:'admin'}
var user_jack = {name:'Jack Black', role:'writer'}
hasPerms(user_jack, 'create', 'users')
// false
hasPerms(user_admin, 'create', 'users')
// true
hasPerms(user_admin, 'update_others', 'posts')
// true
hasPerms(user_jack, 'update_others', 'posts')
// false
编辑：假设角色必须在每个应用程序上可编辑，因此我可能希望允许管理员用户控制访问权限；这就是为什么我想使用数据库的原因。
关于全部在应用程序内完成的问题，考虑到需要持久化和可能更改的要求，这种方法行不通。然而，在这个方向上的一个妥协是我可以只使用角色集合：
db.role.find({name:'writer'}).pretty()
{
"_id" : ObjectId("4f4c2a510785b51c7b11bc45"),
"name" : "writer",
"perms" : {
"create" : [
"posts",
"pages"
],
"update" : [
"posts",
"pages"
],
"update_others" : [ ],
"delete" : [ ],
"read" : [
"posts",
"pages"
]
}
}
我可以像下面这样进行更改，例如删除等（假设在调用时已经从mongo检索到角色对象的引用）：
function removePerm(role, op, resource) {
if(!role || !role.perms || !role.perms[op]) {
console.log("Something not defined!");
return false;
}
var perm = role.perms[op];
for(var i=0, len=perm.length; i<len; i++) {
if(perm[i] === resource) {
perm.splice(i,1);
break;
}
}
}