loopback object acl تنزيل - loopback object acl رمز المصدر

loopback object acl

شفرة المصدر الأخرى

1.0.0

تنزيل

Loopback-Object-ACL

يوفر Loopback "ACL" على مستوى الفصل لتقييد الوصول إلى نموذج كامل أو Mehods ، ولكنه يفتقر إلى حد كبير إلى القدرة على تقوية الوصول إلى الكائنات الفردية. يحاول هذا المشروع حل هذا ، من خلال تعيين ACL على مستوى الكائن على كل كائن ، ويعالج استعلام Loopback لإرجاع الكائنات فقط التي يمكن للمستخدم المطلب الوصول إليها.

الاختبارات

Circleci:

أمثلة

أذونات المستخدم على مستوى القراءة

دعنا نقول أننا نريد أن نكون قابلاً للقراءة (المقصود من التورية) من قِبل 3 مستخدمين (ID: "AAA" ، ID: "BBB" و ID: "CCC"):

POST /api/books

 {
   "title" : "Clean Code" ,
   "subtitle" : "A Handbook of Agile Software Craftsmanship" ,
   "_acl" : {
     "r_perm" : {
       "users" : [ "aaa" , "bbb" , "ccc" ]
     }
   }
}

سيقوم Mixin بتحليل الكائن ليتم تخزينه كما في Mongo:

 {
   id : ObjectId ( "123" ) ,
   title : "Clean Code" ,
   subtitle : "A Handbook of Agile Software Craftsmanship" ,
   r : {
     u : [ "aaa" , "bbb" , "ccc" ]
     g : [ ]
   } ,
   w : {
     u : [ ] ,
     g : [ ]
   }
}

لا يمكن الوصول إلى هذا الكائن إلا من قبل مستخدم فقط مع معرف "AAA" أو "BBB" أو "CCC" ولا أحد آخر. عند الاسترداد ، سيقوم Mixin بتحليل ACL للكائن مباشرة مرة أخرى:

 GET /api/books/123
authorization: accessToken-aaa

عائدات:

 {
   "id" : "123"
   "title" : "Clean Code" ,
   "subtitle" : "A Handbook of Agile Software Craftsmanship" ,
   "_acl" : {
     "r_perm" : {
       "users" : [ "aaa" , "bbb" , "ccc" ]
     }
   }
}

في حين أن الطلب بدون أذونات يؤدي إلى:

 GET /api/books/123
authorization: accessToken-ddd

عائدات:

404 Not found

مجموعة الأذونات على مستوى القراءة

لتحديد كل مستخدم يمكنه الوصول إلى الكائن يمكن أن يكون مرهقًا ومستهلكًا. هذا هو المكان الذي تأتي فيه المجموعات في متناول يدي.

POST /api/books

 {
   "title" : "Clean Code" ,
   "subtitle" : "A Handbook of Agile Software Craftsmanship" ,
   "_acl" : {
     "r_perm" : {
       "groups" : [ "group-id-1" ]
     }
   }
}

كما قد تخمن ، يمكن الآن الوصول إلى هذا الكائن من قبل المستخدمين الذين لديهم group-id-1 المحددة في acl_groups على كائن المستخدم.

الجمع بين الأذونات الجماعية وأذونات على مستوى القراءة

إذا لم يكن user-id-1 و user-id-2 في group-id-1 ، فيمكن لهؤلاء المستخدمين الوصول الصريح بهذه الطريقة:

POST /api/books

 {
   "title" : "Clean Code" ,
   "subtitle" : "A Handbook of Agile Software Craftsmanship" ,
   "_acl" : {
     "r_perm" : {
       "groups" : [ "group-id-1" ] ,
       "users" : [ "user-id-1" , "user-id-2" ]
     }
   }
}

الأشياء العامة

إذا قمت بتثبيت Mixin على النموذج الخاص بك ولكنك لا تحدد $acl عند إنشاء كائن جديد ، فستكون رؤية الكائنات عامة ، على سبيل المثال:

POST /api/books

 {
   "title" : "Clean Code" ,
   "subtitle" : "A Handbook of Agile Software Craftsmanship"
}

عودة

 {
   "title" : "Clean Code" ,
   "subtitle" : "A Handbook of Agile Software Craftsmanship" ,
   "_acl" : {
     "r_perm" : {
       "groups" : [ "*" ] ,
       "users" : [ "*" ]
     } ,
     "w_perm" : {
       "groups" : [ "*" ] ,
       "users" : [ "*" ]
     }
   }
}

ثَبَّتَ

 npm install --save loopback-object-acl

في model-config.json Add ../node_modules/loopback-object-acl to mixins

  "_meta" : {
    "sources" : [
      "loopback/common/models" ,
      "loopback/server/models" ,
      "../common/models" ,
      "./models"
    ] ,
    "mixins" : [
      "loopback/common/mixins" ,
      "loopback/server/mixins" ,
      "../common/mixins" ,
      "./mixins" ,
      "../node_modules/loopback-object-acl"
    ]
  }

اضبط ObjectAclController على أي نموذج ترغب في حمايته باستخدام ACL على مستوى الكائن:

 book . json

{
  "name" : "Book" ,
  "base" : "PersistedModel" ,
  "idInjection" : true ,
  "options" : {
    "validateUpsert" : true
  } ,
  "mixins" : {
    "ObjectAclController" : { }
  }
  . . .
}