【metabase二次开发 • 五】行级权限运作解析

最新推荐文章于 2024-07-14 13:06:24 发布
最新推荐文章于 2024-07-14 13:06:24 发布
阅读量1k 收藏 5
点赞数 1
分类专栏： Clojure & Metabase
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_43821438/article/details/111594677
版权
本文详细解析了Metabase企业版中的行级权限处理机制，包括apply-row-level-permissions、apply-gtaps、apply-gtap及gtap->source等核心方法。这些方法在中间件中对查询进行权限过滤和改写，确保用户只能访问到其被授权的数据。通过实例展示了权限控制如何影响查询流程，以及如何结合用户权限设置生成新的查询结构。
摘要由CSDN通过智能技术生成

文章目录

行级权限

  • metabase运行的middleware中包含4个enterprise edition的方法，其中 middleware.row_level_restrictions/apply-row-level-permissions 处理行级权限

  • 开启行级权限后，一次图表查询可能会触发多次DP流程，因为组装行级权限过程中会回调 query-processor/process-query

  • 注意，本文中的代码框引用的都是返回的参数示例，而不是源码，如需查看源码请移步gitHub


apply-row-level-permissions

  1. 调用 query->table-id->gtap 方法，从元数据中查询 table-id->gtap；
    ;; 示例 table-id->gtap
{2 #metabase.models.group_table_access_policy.GroupTableAccessPolicyInstance{
	:id 1, 
	:group_id 4, 
	:table_id 2, 
	:card_id nil, 
	:attribute_remappings {user_id [:dimension [:field-id 3]]}
}}
  2. 如果 table-id->gtap 为空，说明该表单不受权限控制，直接返回 query；否则，调用 gtapped-query 方法对 query 进行改写
  3. gtappend-query 方法本质上做两件事情：调用 apply-gtags 改写query，以及更新query中的 :gtap-perms字段

apply-gtaps

  1. apply-gtaps 方法的核心是调用 mbql.util/replace方法，该方法可以替换掉一个map中符合其筛选条件的子map
  2. 第2个参数 (_ :guard (every-pred …)) 用于从 m 中筛选出符合条件的子map并存到 &match 中
    ;;示例 m
{:database 1, 
:query {:source-table 2, :filter [:= [:field-id 2] 3 6 7]}, 
:type :query, 
:middleware {:js-int-to-string? true, :add-default-userland-constraints? true}, 
:info {:executed-by 2, :context :ad-hoc, :nested? false, :query-hash #object[[B 0x2f2dcce0 [B@2f2dcce0]}, 
:constraints {:max-results 10000, :max-results-bare-rows 2000}}

    ;;示例 &match
{:source-table 2, :filter [:= [:field-id 2] 3 6 7]}
  3. 第3个参数是用于替换 &match 的新值，本例中通过3步计算
    a. 调用 apply-gtab 方法，计算 updated 值；
    ;; 示例 updated
{ :filter [:= [:field-id 2] 3 6 7], 
  :source-query {
    :source-table 2, 
    :filter [:= [:field-id 3] [:value 1 {:base_type :type/Integer, :special_type :type/FK, :database_type INTEGER, :name USER_ID}]], 
    :fields [[:field-id 9] [:field-id 3] [:field-id 5] [:field-id 6] [:field-id 8] [:field-id 7] [:field-id 1] [:datetime-field [:field-id 4] :default] [:field-id 2]]
  }, 
  :source-metadata [
    {:name ID, :id 9, :table_id 2, :display_name ID, :base_type :type/BigInteger, :special_type :type/PK, :fingerprint nil, :settings nil} 
    {:name USER_ID, :id 3, :table_id 2, :display_name USER_ID, :base_type :type/Integer, :special_type :type/FK, :fingerprint {:global {:distinct-count 929, :nil% 0.0}}, :settings nil} 
    {:name PRODUCT_ID, :id 5, :table_id 2, :display_name PRODUCT_ID, :base_type :type/Integer, :special_type :type/FK, :fingerprint {:global {:distinct-count 200, :nil% 0.0}}, :settings nil} 
    {:name SUBTOTAL, :id 6, :table_id 2, :display_name SUBTOTAL, :base_type :type/Float, :special_type nil, :fingerprint {:global {:distinct-count 340, :nil% 0.0}, :type {:type/Number {:min 15.691943673970439, :q1 49.74894519060184, :q3 105.42965746993103, :max 148.22900526552291, :sd 32.53705013056317, :avg 77.01295465356547}}}, :settings nil} 
    {:name TAX, :id 8, :table_id 2, :display_name TAX, :base_type :type/Float, :special_type nil, :fingerprint {:global {:distinct-count 797, :nil% 0.0}, :type {:type/Number {:min 0.0, :q1 2.273340386603857, :q3 5.337275338216307, :max 11.12, :sd 2.3206651358900316, :avg 3.8722100000000004}}}, :settings nil} 
    {:name TOTAL, :id 7, :table_id 2, :display_name TOTAL, :base_type :type/Float, :special_type nil, :fingerprint {:global {:distinct-count 10000, :nil% 0.0}, :type {:type/Number {:min 12.061602936923117, :q1 52.006147617878135, :q3 109.55803018499738, :max 238.32732001721533, :sd 38.35967664847571, :avg 82.96014815230805}}}, :settings nil} 
    {:name DISCOUNT, :id 1, :table_id 2, :display_name DISCOUNT, :base_type :type/Float, :special_type :type/Discount, :fingerprint {:global {:distinct-count 701, :nil% 0.898}, :type {:type/Number {:min 0.17088996672584322, :q1 2.9786226681458743, :q3 7.338187788658235, :max 61.69684269960571, :sd 3.053663125001991, :avg 5.161255547580326}}}, :settings nil} 
    {:table_id 2, :special_type :type/CreationTimestamp, :unit :default, :name CREATED_AT, :settings nil, :id 4, :display_name CREATED_AT, :fingerprint {:global {:distinct-count 9998, :nil% 0.0}, :type {:type/DateTime {:earliest 2016-04-30T18:56:13.352Z, :latest 2020-04-19T14:07:15.657Z}}}, :base_type :type/DateTime} 
    {:name QUANTITY, :id 2, :table_id 2, :display_name QUANTITY, :base_type :type/Integer, :special_type :type/Quantity, :fingerprint {:global {:distinct-count 62, :nil% 0.0}, :type {:type/Number {:min 0.0, :q1 1.755882607764982, :q3 4.882654507928044, :max 100.0, :sd 4.214258386403798, :avg 3.7015}}}, :settings nil}
  ]
}
    b. 在 updated 基础上，递归调用 apply-gtabs 计算 recursively-updated 值；
    c. 在 recursively-updated 基础上，调用 mbql.util/replace 方法，为 :source-table 所在的map加上一个同级关键字 :gtap? true，即标记为已处理；

apply-gtap

  1. apply-gtap 是增加行级权限的核心方法，会结合gtap生成新的子map
    ;;入参 m
{:source-table 2, :filter [:= [:field-id 2] 3 6 7]}

    ;;出参
{ :filter [:= [:field-id 2] 3 6 7],
  :source-query
  { :source-table 2,
    :filter [:= [:field-id 3] [:value 1 {:base_type :type/Integer, :special_type :type/FK, :database_type "INTEGER", :name "USER_ID"}]],
    :fields [[:field-id 9] [:field-id 3] [:field-id 5] [:field-id 6] [:field-id 8] [:field-id 7] [:field-id 1] [:datetime-field [:field-id 4] :default] [:field-id 2]]
  },
 :source-metadata
  [ {:name "ID", :id 9, :table_id 2, :display_name "ID", :base_type :type/BigInteger, :special_type :type/PK, :fingerprint nil, :settings nil}
    {:name "USER_ID", :id 3, :table_id 2, :display_name "USER_ID", :base_type :type/Integer, :special_type :type/FK, :fingerprint {:global {:distinct-count 929, :nil% 0.0}}, :settings nil}
    {:name "PRODUCT_ID", :id 5, :table_id 2, :display_name "PRODUCT_ID", :base_type :type/Integer, :special_type :type/FK, :fingerprint {:global {:distinct-count 200, :nil% 0.0}}, :settings nil}
    {:name "SUBTOTAL", :id 6, :table_id 2, :display_name "SUBTOTAL", :base_type :type/Float, :special_type nil, :fingerprint {:global {:distinct-count 340, :nil% 0.0}, :type {:type/Number {:min 15.691943673970439, :q1 49.74894519060184, :q3 105.42965746993103, :max 148.22900526552291, :sd 32.53705013056317, :avg 77.01295465356547}}}, :settings nil}
    {:name "TAX", :id 8, :table_id 2, :display_name "TAX", :base_type :type/Float, :special_type nil, :fingerprint {:global {:distinct-count 797, :nil% 0.0}, :type {:type/Number {:min 0.0, :q1 2.273340386603857, :q3 5.337275338216307, :max 11.12, :sd 2.3206651358900316, :avg 3.8722100000000004}}}, :settings nil}
    {:name "TOTAL", :id 7, :table_id 2, :display_name "TOTAL", :base_type :type/Float, :special_type nil, :fingerprint {:global {:distinct-count 10000, :nil% 0.0}, :type {:type/Number {:min 12.061602936923117, :q1 52.006147617878135, :q3 109.55803018499738, :max 238.32732001721533, :sd 38.35967664847571, :avg 82.96014815230805}}}, :settings nil}
    {:name "DISCOUNT", :id 1, :table_id 2, :display_name "DISCOUNT", :base_type :type/Float, :special_type :type/Discount, :fingerprint {:global {:distinct-count 701, :nil% 0.898}, :type {:type/Number {:min 0.17088996672584322, :q1 2.9786226681458743, :q3 7.338187788658235, :max 61.69684269960571, :sd 3.053663125001991, :avg 5.161255547580326}}}, :settings nil}
    {:table_id 2, :special_type :type/CreationTimestamp, :unit :default, :name "CREATED_AT", :settings nil, :id 4, :display_name "CREATED_AT", :fingerprint {:global {:distinct-count 9998, :nil% 0.0}, :type {:type/DateTime {:earliest "2016-04-30T18:56:13.352Z", :latest "2020-04-19T14:07:15.657Z"}}}, :base_type :type/DateTime}
    {:name "QUANTITY", :id 2, :table_id 2, :display_name "QUANTITY", :base_type :type/Integer, :special_type :type/Quantity, :fingerprint {:global {:distinct-count 62, :nil% 0.0}, :type {:type/Number {:min 0.0, :q1 1.755882607764982, :q3 4.882654507928044, :max 100.0, :sd 4.214258386403798, :avg 3.7015}}}, :settings nil}
  ]
}
  2. 其内部调用了metabase.util/prog1 方法，该方法本质上是一个装饰器：运行主函数（第一个参数）并返回其结果（保存在 <> 中），返回前运行其它函数(比如记录日志)
  3. 主函数是一个merge，即将m中的 :source-table 和 :source-query 先排除，然后插入 gtap->source 方法的返回结果

gtap->source

  1. 该函数通过调用 preprocess-source-query ，生成包含 :source-query 和 :source-metadata 的map，示例参照上面 apply-gtap 的出参；
  2. preprocess-source-query中执行顺序如下：
    a. 调用 card-gtap->source 或 table-gtap->source 生成初版source-query，放到 query 中；
    ;; 示例：table-gtap->source生成的query
{ :database 1, 
  :type :query, 
  :query {
    :source-query {
      :source-table 2, 
      :parameters [{:type :category, :target [:dimension [:field-id 3]], :value 1}]
}}}
    b. 将 query 传入 metabase.query-processor/query->preprocessed 生成 preprocessed；
    ;; 示例： preprocessed
{ :database 1, 
  :type :query, 
  :query {
    :source-metadata [...], 
    :fields [...], 
    :limit 1048576, 
    :source-query {
      :source-table 2, 
      :filter [:= [:field-id 3] [:value 1 {:base_type :type/Integer, :special_type :type/FK, :database_type INTEGER, :name USER_ID}]], 
      :fields [[:field-id 9] [:field-id 3] [:field-id 5] [:field-id 6] [:field-id 8] [:field-id 7] [:field-id 1] [:datetime-field [:field-id 4] :default] [:field-id 2]]
}}}
    c. 从 preprocessed 中取出 :query 字段中的 :source-query 和 :source-metadata两个字段信息，返回给调用方

gtap->parameters

  1. 在gtap->source 中，根据是否包含card-id来选择调用 card-gtap->source 或 table-gtap->source，而这两个函数都会调用 gtap->parameters 来获取权限数据
  2. 工作流程：
    a. 从 gtap 中获取表定义的权限设置，保存在 attribute-remappings 中；
    b. 从 *current-user* 中获取用户的权限设置，保存在 login_attributes 中；
    c. 调用 attr-remapping->parameter
    ;; 示例 attribute-remappings
{user_id [:dimension [:field-id 3]]}

;; 示例 login_attributes
{user_id 1, quantity 2}
乔治大大
关注
专栏目录
Metabase学习教程：权限-1
weixin_38030820的博客
12-06 343
Metabase数据权限
Metabase学习教程：权限-3
weixin_38030820的博客
12-07 629
Metabase的行权限
推荐一款好用的数据可视化分析离线工具：metabase
最新发布
qq_35177516的博客
07-14 1203
运行 Metabase 时，Metabase 将创建一些新文件，因此在运行 Metabase Jar 文件之前将它放在新目录中非常重要（因此请将其移出下载文件夹并将其放入新目录）。如果只想试用 Metabase、使用 Metabase，或者只是在本地计算机上使用 Metabase，Metabase 附带了一个可以使用的默认应用程序数据库。要通过 JAR 文件运行免费的开源版本的 Metabase，需要在系统上安装 Java 运行时环境 （JRE）。元数据库将在启动时在终端中记录其进度。
【Metabase二次开发 • 四】元数据解析
weixin_43821438的博客
12-20 2186
文章目录元数据概述元数据表结构用户相关权限相关数据源相关查询相关运行日志相关定时任务相关数据图表相关邮件推送相关其它 元数据概述 Database元数据默认存在内嵌h2数据库中，但生产环境建议迁移到MySQL或PostgreSQL数据库，详情参阅 官方文档 元数据表结构 元数据库中共有55张表，分类梳理如下 用户相关 core_user 用户信息表，包括用户姓名、邮箱、密码、注册时间、上次登录时间、是否管理员、账号是否激活、认证方式、地域偏好等 login_attributes，注释说用于存储行
mac Metabase二次开发和定制化
qq_38389990的博客
06-02 1286
前端需要的环境Git + node + yarn + VsCode(开发工具)备注：yarn 和 npm镜像源改为taobao镜像，加快依赖包下载速度，防止出现clj文件夹的下载 错误，node版本为LTS最新版，yarn版本1.x后端需要的环境OpenJDK11(或者11以上版本皆可) + Clojure + Cursive + IDEA(开发工具)备注： Clojure可以通过brew命令直接安装最新版，IDEA中直接选择plugin安装Cursive。
Metabase二次开发编译环境搭建
qq_42270377的博客
04-15 2950
Metabase 是一个简单、开源的方式，通过给公司成员提问，从得到的数据中进行分析、学习。 Metabase官网 本文讲解的是在linux操作系统上搭建Metabase二次开发编译环境的搭建，总共分为三步： 下载所需文件 搭建编译环境 编译源码 1.下载所需文件 一. 首先安装Linux环境或者使用VMware虚拟机安装Linux 备注：可以使用Xshell传输文件，更便捷。 Xsh...
【metabase二次开发 • 一】开发准备
weixin_43821438的博客
12-20 4389
文章目录开发概述clojure学习clojure开发配置调试运行 开发概述 Metabase采用前后端分离的方式构建，前端使用react搭建页面，后端使用clojure提供REST API接口； Metabase提供了官方文档Developers Guide，对开发环境和运行方式进行了简要说明； 本文档主要侧重于Clojure部分，前端涉及技术栈比较主流，网上各种文章分析也很全面，就不重复讨论了。 clojure学习 Clojure比较冷门，网上学习资料也比较少，因此以官方文档和英文资料为主; 中文
metabase二次开发工具
11-27
Metabase二次开发工具包括以下几个方面： 1. Metabase API：Metabase提供了强大的API，可以通过编程方式对Metabase进行定制和扩展。开发人员可以使用API来获取数据、创建和修改问题（queries）、设置图表和仪表盘等...
metabase 二次开发
04-12
可以的，Metabase是一个开源的BI工具，支持二次开发和定制化。其二次开发的步骤大致为：1. 搭建开发环境，包括JDK，Maven和Metabase源码；2. 熟悉Metabase的扩展点，例如插件、主题、自定义查询等；3. 开发符合业务...
metabase环境搭建.doc
04-22
本文将详细介绍如何在本地环境中搭建Metabase的开发环境。 首先，Metabase的前端部分采用了React作为主要的用户界面库，结合Redux进行状态管理，以及D3用于数据可视化。开发过程中，使用yarn作为包管理器，并通过...
Metabase源码二次开发之Clojure 安装
qq_24186017的博客
05-24 654
Clojure 在windows上安装 确保已安装PowerShell 5（或更高版本，包括PowerShell Core）和.NET Core SDK 2.1+ 或 .NET Framework 4.5+（或更高版本）。还要安装 Java 8+ 并在您的环境变量中设置 JAVA_HOME。然后运行： Invoke-Expression (New-Object System.Net.WebClient).DownloadString('https://download.clojure.org/in
【metabase二次开发 • 五】Clojure踩坑实录
weixin_43821438的博客
12-25 941
文章目录启动相关lein ring server启动失败lein ring server加载driver失败翻译组件加载失败接口调用相关postman接口调不通 启动相关 lein ring server启动失败 【问题】lein run能正常启动，lein ring server启动报错Syntax error (AssertionError) compiling at (/private/var/folders/0x/b3mhp5j52xg75qyb5h4xcph00000gn/T/form-init
Metabase二次开发编译环境搭建（之二---搭建编译环境）
冰山上的来客的博客
07-05 5704
        本文讲解的是在linux操作系统上搭建Matabase二次开发编译环境的搭建，下面是搭建编译环境。一、安装JDK8（如果你已安装过jdk8，此步骤可以略过）。        1、上传JDK8        将下载好的JDK8上传到linux系统的/usr/java目录下，使用cd命令进入/usr/java目录，在使用tar -zxvf命令进行解压文件。cd /usr/java ta...
Metabase二次开发编译环境搭建（之三---编译源码）
weixin_30852367的博客
04-12 371
一、将下载的源码上传到linux系统的opt目录下，进入opt目录，进行解压。 二、编译代码 　　1、编译前端代码，使用命令：【yarn run build】； 2、编译后端代码，使用命令：【lein ring server】； 3、前后端一起编译，使用命令：【yarn run build && lein ring server】。(我使用...
QuickBI助你成为分析师-保证数据安全：行级权限
weixin_34293059的博客
04-11 431
Quick BI 的行级权限就可以实现在一份报表中，不同的人/用户组看不同的数据。目前只有高级版、专业版有行级权限的功能。 以一个销售团队为例，如果该销售团队的业务范围是全国，那么意味着他们需要随时掌握30多个省的销售情况，而且每一个省还有若干个城市，每一个城市还有若干个县；随着业务量的不断增大和扩容，他们所要查阅的销售数据也会日益增加。 在如此庞大且复...
【metabase二次开发 • 三】Clojure运行解析
weixin_43821438的博客
12-20 1616
文章目录程序启动lein ring server 程序启动 lein ring server 加载metabase.core引用的命名空间，耗时较长。某些命名空间在加载过程中会输出到终端； 示例：2020-12-11 18:21:38,879 INFO metabase.util :: Maximum memory available to JVM: 3.6 GB 加载 metabase.core，加载过程中有输出 示例：Copyright © 2020 Metabase, Inc. 运行
在 SQL Server 中授予行级权限
云中客的专栏
06-13 1758
某些方案中会要求更为细致地控制访问，而不仅仅是授予、撤消或拒绝对数据的权限。 例如，医院数据库应用程序可能会将患者信息存储在单个表中。 可能需要限制医生仅查看与他们自己的患者相关的信息。 在很多环境中（包括财务、法律、政府和军事应用程序）都存在类似的方案。 不过，SQL Server 并不支持实现行级安全性。 您必须在表中创建附加列以定义行筛选机制。  实现行级权限  
shiro请求授权实现
Java修炼者的博客
01-05 274
shiro请求授权实现 首先在ShiroConfig中配置授权链条 //授权(正常情况下未授权会跳转到未授权页面)配置授权链条 filterMap.put("/toAdd","perms[user:add]"); filterMap.put("/toUpdate","perms[user:update]"); //设置未授权的请求(未授权页面) factoryBean.setUnauthorizedUrl("/unauthorized
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值