【Golang】 golang 访问控制框架casbin

最新推荐文章于 2025-02-19 21:15:00 发布

Not_a_penny_to_name

最新推荐文章于 2025-02-19 21:15:00 发布

阅读量1k

点赞数

分类专栏：访问控制 harbor golang

本文链接：https://blog.csdn.net/Not_a_penny_to_name/article/details/103950575

版权

本文介绍了Golang中的访问控制框架Casbin，详细阐述了其支持的ACL、RBAC和ABAC等多种访问控制模型。通过一个简单的ACL模式DEMO，展示了如何配置和使用Casbin。接着，文章深入到资源角色的RBAC，结合Harbor的源码解析，解释了如何实现用户权限的导入和访问控制。最后，作者分享了从Java到Golang的学习体会，强调了理解Casbin对于理解Harbor访问控制的重要性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

一。开始

Casbin 是一个强大的、高效的开源访问控制框架，其权限管理机制支持多种访问控制模型。

ACL (Access Control List, 访问控制列表)
具有超级用户的 ACL
没有用户的 ACL: 对于没有身份验证或用户登录的系统尤其有用。
没有资源的 ACL: 某些场景可能只针对资源的类型，而不是单个资源，诸如 write-article , read-log 等权限。它不控制对特定文章或日志的访问。
RBAC (基于角色的访问控制)
支持资源角色的 RBAC: 用户和资源可以同时具有角色 (或组)。
支持域/租户的 RBAC: 用户可以为不同的域/租户设置不同的角色集。
ABAC (基于属性的访问控制): 支持利用 resource.Owner 这种语法糖获取元素的属性。
RESTful: 支持路径，如 /res/* , /res/: id 和 HTTP 方法，如 GET , POST , PUT , DELETE 。
拒绝优先: 支持允许和拒绝授权，拒绝优先于允许。
优先级: 策略规则按照先后次序确定优先级，类似于防火墙规则。

二。使用(最简单的 demo) ACL 模式

创建 model.conf 文件，并写入以下内容：

# 要去请求的资源sub(subject) 请求的实体
[request_definition]
r = sub, obj, act
# 表示拥有的权限
[policy_definition]
p = sub, obj, act, eft
# policy 生效的范围  其中p.eft 表示策略规则的决策结果，可以为allow 或者deny，当不指定规则的决策结果时,取默认值allow 。
#通常情况下，policy的p.eft默认为allow
#该Effect原语表示当至少存在一个决策结果为allow的匹配规则，且不存在决策结果为deny的匹配规则时，则最终决策结果为allow。
#这时allow授权和deny授权同时存在，但是deny优先。
[policy_effect]
e = some(where (p.eft == allow))
# Matchers
# 匹配器用于上面 请求和策略的匹配
[matchers]
m = r.sub == p.sub && r.obj == p.obj && r.act == p.act

创建 model.csv 文件：

p, Archer, configuration, list, allow

model.conf 文件声明了 casbin 如何去进行访问控制，你的请求参数是啥，策略是啥，如何匹配
model.csv 声明了用户的权限，casbin,根据该文件的内容与请求参数进行对比

main 函数：

package main

import (

	"fmt"
	"github.com/casbin/casbin"
)

var (
	conf = "C:\\Users\\Vic\\go\\src\\github.com\\Archer1A\\casbin-demo\\model.conf"
	csv = "C:\\Users\\Vic\\go\\src\\github.com\\Archer1A\\casbin-demo\\model.csv"

)
func main()  {
	e,_ :=casbin.NewEnforcer(conf,csv)
	if res,_ := e.Enforce("Archer","configuration","list");res{ // archer 是否有list configuration 权限
		fmt.Println("Archer can list configuration")
	}else {
		fmt.Println("Archer can't list configuration")
	}
	if res,_ := e.Enforce("Archer","configuration",