基于RESTful API 设计用户权限控制
RESTful简述
本文是基于RESTful描述的，须要你对这个有初步的了解。 RESTful是什么？ Representational State Transfer，简称REST，是Roy Fielding博士在2000年他的博士论文中提出来的一种软件架构风格。 REST比较重要的点是资源和状态转换， 所谓"资源"，就是网络上的一个实体，或者说是网络上的一个具体信息。它能够是一段文本、一张图片、一首歌曲、一种服务，总之就是一个具体的实在。 而 “状态转换”，则是把对应的HTTP协议里面，四个表示操做方式的动词分别对应四种基本操做：javascript
- GET，用来浏览(browse)资源
- POST，用来新建(create)资源
- PUT，用来更新(update)资源
- DELETE，用来删除(delete)资源
-
资源的分类及操做
清楚了资源的概念，而后再来对资源进行一下分类，我把资源分为下面三类：php
- 私人资源 (Personal Source)
- 角色资源 (Roles Source)
- 公共资源 (Public Source)
-
“私人资源”：是属于某一个用户全部的资源，只有用户本人才能操做，其余用户不能操做。例如用户的我的信息、订单、收货地址等等。 “角色资源”：与私人资源不一样，角色资源范畴更大，一个角色能够对应多我的，也就是一群人。若是给某角色分配了权限，那么只有身为该角色的用户才能拥有这些权限。例如系统资源只可以管理员操做，通常用户不能操做。 “公共资源”：全部人不管角色都可以访问并操做的资源。css
而对资源的操做，无非就是分为四种：html
- 浏览 (browse)
- 新增 (create)
- 更新 (update)
- 删除 (delete)
角色、用户、权限之间的关系
角色和用户的概念，自不用多说，你们都懂，可是权限的概念须要提一提。
“权限”，就是资源与操做的一套组合，例如"增长用户"是一种权限，"删除用户"是一种权限，因此对于一种资源所对应的权限有且只有四种。java - 角色与用户的关系：一个角色对应一群用户，一个用户也能够扮演多个角色，因此它们是多对多的关系。
角色与权限的关系：一个角色拥有一堆权限，一个权限却只能属于一个角色，因此它们是一(角色)对多(权限)的关系
权限与用户的关系：因为一个用户能够扮演多个角色，一个角色拥有多个权限，因此用户与权限是间接的多对多关系。 -
须要注意两种特别状况：git
- 私人资源与用户的关系，一种私人资源对应的四种权限只能属于一个用户，因此这种状况下，用户和权限是一(用户)对多(权限)的关系。
- 超级管理员的角色，这个角色是神通常的存在，能无视一切阻碍，对全部资源拥有绝对权限，甭管你是私人资源仍是角色资源。
数据库表的设计
角色、用户、权限的模型应该怎么样设计，才能知足它们之间的关系？程序员
-
对上图的一些关键字段进行说明：github
Source
- name: 资源的名称，也就是其余模型的名称，例如：user、role等等。
- identity: 资源的惟一标识，能够像uuid，shortid这些字符串，也能够是model的名称。
- permissions : 一种资源对应有四种权限，分别对这种资源的browse、create、update、delete
Permission
- source : 该权限对应的资源，也就是Source的某一条记录的惟一标识
- action ：对应资源的操做，只能是browse、create、update、delete四个之一
- relation：用来标记该权限是属于私人的，仍是角色的，用于OwnerPolicy检测
- roles: 拥有该权限的角色
Role
- users : 角色所对应的用户群，一个角色能够对应多个用户
- permissions: 权限列表，一个角色拥有多项权利
User
- createBy : 该记录的拥有者，在user标里，通常等于该记录的惟一标识，这一属性用于OwnerPolicy的检测，其余私有资源的模型设计，也须要加上这一字段来标识资源的拥有者。
- roles : 用户所拥有的角色
策略/过滤器
在sails下称为策略(Policy)，在java SSH下称为过滤器(Filter)，不管名称如何，他们工做原理是大同小异的，主要是在一条HTTP请求访问一个Controller下的action以前进行检测。因此在这一层，咱们能够自定义一些策略/过滤器来实现权限控制。
为行文方便，下面姑且容许我使用策略这一词。web** 策略 (Policy) **thinkphp
下面排版顺序对应Policy的运行顺序
- SessionAuthPolicy：
检测用户是否已经登陆，用户登陆是进行下面检测的前提。 - SourcePolicy：
检测访问的资源是否存在，主要检测Source表的记录 - PermissionPolicy：
检测该用户所属的角色，是否有对所访问资源进行对应操做的权限。 - OwnerPolicy：
若是所访问的资源属于私人资源，则检测当前用户是否该资源的拥有者。
若是经过全部policy的检测，则把请求转发到目标action。
Sails下的权限控制实现
在Sails下，有一个很方便的套件sails-permissions，集成了一套权限管理的方案，本文也是基于该套件的源码所引出来的权限管理解决方案。
结语
对程序员最大的挑战，并非可否掌握了哪些编程语言，哪些软件框架，而是对业务和需求的理解，而后在此基础上，把要点抽象出来，写成计算机能理解的语言。
最后，但愿这篇文章，可以帮助你对权限管理这一课题增长多一点点理解。- 附上thinkphp restful类库 帮助理解 验证方式什么的这里面没有 须要本身写
-
<?php // +---------------------------------------------------------------------- // | ThinkPHP [ WE CAN DO IT JUST THINK IT ] // +---------------------------------------------------------------------- // | Copyright (c) 2006-2014 http://thinkphp.cn All rights reserved. // +---------------------------------------------------------------------- // | Licensed ( http://www.apache.org/licenses/LICENSE-2.0 ) // +---------------------------------------------------------------------- // | Author: liu21st <liu21st@gmail.com> // +---------------------------------------------------------------------- namespace Think\Controller; use Think\Controller; /** * ThinkPHP REST控制器类 */ class RestController extends Controller { // 当前请求类型 protected $_method = ''; // 当前请求的资源类型 protected $_type = ''; // REST容许的请求类型列表 protected $allowMethod = array('get','post','put','delete'); // REST默认请求类型 protected $defaultMethod = 'get'; // REST容许请求的资源类型列表 protected $allowType = array('html','xml','json','rss'); // 默认的资源类型 protected $defaultType = 'html'; // REST容许输出的资源类型列表 protected $allowOutputType= array( 'xml' => 'application/xml', 'json' => 'application/json', 'html' => 'text/html', ); /** * 架构函数 * @access public */ public function __construct() { // 资源类型检测 if(''==__EXT__) { // 自动检测资源类型 $this->_type = $this->getAcceptType(); }elseif(!in_array(__EXT__,$this->allowType)) { // 资源类型非法 则用默认资源类型访问 $this->_type = $this->defaultType; }else{ // 检测实际资源类型 $this->_type = $this->getAcceptType() == __EXT__ ? __EXT__ : $this->defaultType; } // 请求方式检测 $method = strtolower(REQUEST_METHOD); if(!in_array($method,$this->allowMethod)) { // 请求方式非法 则用默认请求方法 $method = $this->defaultMethod; } $this->_method = $method; parent::__construct(); } /** * 魔术方法 有不存在的操做的时候执行 * @access public * @param string $method 方法名 * @param array $args 参数 * @return mixed */ public function __call($method,$args) { if( 0 === strcasecmp($method,ACTION_NAME.C('ACTION_SUFFIX'))) { if(method_exists($this,$method.'_'.$this->_method.'_'.$this->_type)) { // RESTFul方法支持 $fun = $method.'_'.$this->_method.'_'.$this->_type; $this->$fun(); }elseif($this->_method == $this->defaultMethod && method_exists($this,$method.'_'.$this->_type) ){ $fun = $method.'_'.$this->_type; $this->$fun(); }elseif($this->_type == $this->defaultType && method_exists($this,$method.'_'.$this->_method) ){ $fun = $method.'_'.$this->_method; $this->$fun(); }elseif(method_exists($this,'_empty')) { // 若是定义了_empty操做 则调用 $this->_empty($method,$args); }elseif(file_exists_case($this->view->parseTemplate())){ // 检查是否存在默认模版 若是有直接输出模版 $this->display(); }else{ E(L('_ERROR_ACTION_').':'.ACTION_NAME); } } } /** * 获取当前请求的Accept头信息 * @return string */ protected function getAcceptType(){ $type = array( 'html' => 'text/html,application/xhtml+xml,*/*', 'xml' => 'application/xml,text/xml,application/x-xml', 'json' => 'application/json,text/x-json,application/jsonrequest,text/json', 'js' => 'text/javascript,application/javascript,application/x-javascript', 'css' => 'text/css', 'rss' => 'application/rss+xml', 'yaml' => 'application/x-yaml,text/yaml', 'atom' => 'application/atom+xml', 'pdf' => 'application/pdf', 'text' => 'text/plain', 'png' => 'image/png', 'jpg' => 'image/jpg,image/jpeg,image/pjpeg', 'gif' => 'image/gif', 'csv' => 'text/csv' ); foreach($type as $key=>$val){ $array = explode(',',$val); foreach($array as $k=>$v){ if(stristr($_SERVER['HTTP_ACCEPT'], $v)) { return $key; } } } return false; } // 发送Http状态信息 protected function sendHttpStatus($code) { static $_status = array( // Informational 1xx 100 => 'Continue', 101 => 'Switching Protocols', // Success 2xx 200 => 'OK', 201 => 'Created', 202 => 'Accepted', 203 => 'Non-Authoritative Information', 204 => 'No Content', 205 => 'Reset Content', 206 => 'Partial Content', // Redirection 3xx 300 => 'Multiple Choices', 301 => 'Moved Permanently', 302 => 'Moved Temporarily ', // 1.1 303 => 'See Other', 304 => 'Not Modified', 305 => 'Use Proxy', // 306 is deprecated but reserved 307 => 'Temporary Redirect', // Client Error 4xx 400 => 'Bad Request', 401 => 'Unauthorized', 402 => 'Payment Required', 403 => 'Forbidden', 404 => 'Not Found', 405 => 'Method Not Allowed', 406 => 'Not Acceptable', 407 => 'Proxy Authentication Required', 408 => 'Request Timeout', 409 => 'Conflict', 410 => 'Gone', 411 => 'Length Required', 412 => 'Precondition Failed', 413 => 'Request Entity Too Large', 414 => 'Request-URI Too Long', 415 => 'Unsupported Media Type', 416 => 'Requested Range Not Satisfiable', 417 => 'Expectation Failed', // Server Error 5xx 500 => 'Internal Server Error', 501 => 'Not Implemented', 502 => 'Bad Gateway', 503 => 'Service Unavailable', 504 => 'Gateway Timeout', 505 => 'HTTP Version Not Supported', 509 => 'Bandwidth Limit Exceeded' ); if(isset($_status[$code])) { header('HTTP/1.1 '.$code.' '.$_status[$code]); // 确保FastCGI模式下正常 header('Status:'.$code.' '.$_status[$code]); } } /** * 编码数据 * @access protected * @param mixed $data 要返回的数据 * @param String $type 返回类型 JSON XML * @return string */ protected function encodeData($data,$type='') { if(empty($data)) return ''; if('json' == $type) { // 返回JSON数据格式到客户端 包含状态信息 $data = json_encode($data); }elseif('xml' == $type){ // 返回xml格式数据 $data = xml_encode($data); }elseif('php'==$type){ $data = serialize($data); }// 默认直接输出 $this->setContentType($type); //header('Content-Length: ' . strlen($data)); return $data; } /** * 设置页面输出的CONTENT_TYPE和编码 * @access public * @param string $type content_type 类型对应的扩展名 * @param string $charset 页面输出编码 * @return void */ public function setContentType($type, $charset=''){ if(headers_sent()) return; if(empty($charset)) $charset = C('DEFAULT_CHARSET'); $type = strtolower($type); if(isset($this->allowOutputType[$type])) //过滤content_type header('Content-Type: '.$this->allowOutputType[$type].'; charset='.$charset); } /** * 输出返回数据 * @access protected * @param mixed $data 要返回的数据 * @param String $type 返回类型 JSON XML * @param integer $code HTTP状态 * @return void */ protected function response($data,$type='',$code=200) { $this->sendHttpStatus($code); exit($this->encodeData($data,strtolower($type))); } }