About Access Control Design

[Samuka007]

关于权限控制的讨论。
#26

[Samuka007]

可行性分析跟踪，初步计划结合 https://github.com/casbin-rs/actix-casbin-auth 进行权限管理

我发现它 actix-casbin-auth 用的 actix-web 版本只测了 2.0-4.0 （还是使用 actix-rt 的版本），我看现代一点的 actix-web 好像不需要把中间件写的这么麻烦，它的基本原理只是需要在自定义的中间件中，把用户信息抽取出来，以 CasbinVal 的形式塞进 extension_mut 里，然后再往下调用 casbin 的 middleware

[Samuka007]

Demo https://github.com/kaleidoscope416/casbin_examle by @kaleidoscope416

[Samuka007]

它的路由设计上能不能举些 code piece 来看看，耦合度高的话可能还要麻烦 @dolzhuying 往路由逻辑里写一下？

[Samuka007]

问题：

权限管理似乎只能基于http中的extensions中的casbinvals字段，casbinvals总共有两个值，subject（用户名）和domain（域），如果用户身份确定那么访问的路由就确定，但向路由传递的http请求体是不能管理的。 如果gateway在请求体里读取命名空间和函数名的话，是不能权限控制的。

需求：

所以写权限控制前需要设计一下gateway 怎么读取命名空间和函数名，我想的是读取casbinvals字段的subject和domain 作为 命名空间 和 函数名，那么用户认证就要在casbinvals中给出subject 和 domain。

效果：

通过用户认证，知道了casbinvals，再到权限管理，只有特定的casbinvals能访问 deploy，delete等路由，这些路由从extensions读取casbinvals来知道命名空间和函数名 @oeasy1412 @Samuka007 @dolzhuying

他这个 Casbin 中间件默认就是 rbac 吗？只能传 sub 和 dom？

[kaleidoscope416]

yes，不过我看不一定要从extensions读取，可以改一下actix-casbin-auth的源码

 let path = req.path().to_string();
            let action = req.method().as_str().to_string();
            let option_vals = req.extensions().get::<CasbinVals>().map(|x| x.to_owned());
            let vals = match option_vals {
                Some(value) => value,
                None => {
                    return Ok(req.into_response(
                        HttpResponse::Unauthorized().finish().map_into_right_body(),
                    ))
                }
            };

把这里改了就能从其他地方读取