554 lines
17 KiB
Markdown
554 lines
17 KiB
Markdown
节点权限设计说明（支持两棵树 + 子节点操作 + 全局 tree 规则）
|
||
|
||
本说明基于当前的权限表设计约束：
|
||
|
||
- 有两棵树：`standards` 和 `projects`。
|
||
- 只有 **Allow**（允许）权限，没有 Deny，也没有继承。
|
||
- 使用一张表 `node_permission` 管理权限，支持 6 类主体：
|
||
|
||
- 用户：`user`
|
||
- 用户组：`group`
|
||
- 角色：`role`
|
||
- 所有人：`everyone`
|
||
- 父节点的 owner：`parent_owner`
|
||
- 子树根节点的 owner：`root_owner`
|
||
|
||
---
|
||
|
||
### 一、`node_permission` 表字段定义
|
||
|
||
```sql
|
||
CREATE TABLE node_permission (
|
||
id BIGINT PRIMARY KEY AUTO_INCREMENT,
|
||
|
||
-- 树维度：
|
||
-- 'standards' : 只对 standards 生效
|
||
-- 'projects' : 只对 projects 生效
|
||
-- NULL : 两棵树都生效（全局规则）
|
||
tree VARCHAR(32) NULL,
|
||
|
||
-- 节点维度：
|
||
-- NULL : 默认权限（作用范围由 tree 决定）
|
||
-- > 0 : 某个具体节点的专属权限
|
||
node_id BIGINT NULL,
|
||
|
||
-- 主体类型：
|
||
-- user : 用户（user.id）
|
||
-- group : 用户组（group.id）
|
||
-- role : 角色（如 super/sAdmin/pAdmin）
|
||
-- everyone : 所有人
|
||
-- parent_owner : 父节点的 owner
|
||
-- root_owner : 当前子树根节点的 owner
|
||
principal_type ENUM(
|
||
'user',
|
||
'group',
|
||
'role',
|
||
'everyone',
|
||
'parent_owner',
|
||
'root_owner'
|
||
) NOT NULL,
|
||
|
||
-- 主体标识：
|
||
-- user/group : 对应 id 的字符串
|
||
-- role : 角色 code
|
||
-- everyone / parent_owner / root_owner : 固定为 NULL
|
||
principal_key VARCHAR(64) NULL,
|
||
|
||
-- 节点自身权限
|
||
can_list_children TINYINT(1) NOT NULL DEFAULT 0,
|
||
can_add_child_folder TINYINT(1) NOT NULL DEFAULT 0,
|
||
can_add_child_doc TINYINT(1) NOT NULL DEFAULT 0,
|
||
can_delete_node TINYINT(1) NOT NULL DEFAULT 0,
|
||
can_edit_node TINYINT(1) NOT NULL DEFAULT 0,
|
||
|
||
-- 文档内容权限
|
||
can_read_doc TINYINT(1) NOT NULL DEFAULT 0,
|
||
can_edit_doc TINYINT(1) NOT NULL DEFAULT 0,
|
||
can_delete_doc TINYINT(1) NOT NULL DEFAULT 0,
|
||
|
||
-- 子节点操作权限
|
||
can_delete_child_node TINYINT(1) NOT NULL DEFAULT 0,
|
||
can_edit_child_node TINYINT(1) NOT NULL DEFAULT 0,
|
||
|
||
created_at DATETIME DEFAULT CURRENT_TIMESTAMP,
|
||
|
||
-- 同一 (tree, node_id, principal_type, principal_key) 只允许一条
|
||
UNIQUE KEY uk_tree_node_principal (tree, node_id, principal_type, principal_key),
|
||
KEY idx_node (node_id),
|
||
KEY idx_principal (principal_type, principal_key)
|
||
);
|
||
```
|
||
|
||
---
|
||
|
||
## 二、`node_permission` 关键字段语义
|
||
|
||
这里只说明与鉴权相关的字段
|
||
|
||
- **节点维度**
|
||
|
||
- `node_id`：
|
||
- `NULL`：表示“**默认权限**”，作用范围由 `tree` 决定：
|
||
- `tree = 'standards'`：只对 standards 全部节点生效；
|
||
- `tree = 'projects'`：只对 projects 全部节点生效；
|
||
- `tree IS NULL`：对两棵树全部节点生效。
|
||
- `> 0`：表示“**某个具体节点的专属权限**”，此时 `tree` 应等于该节点所属树。
|
||
- **主体（Principal）维度**
|
||
|
||
- `principal_type`：`'user' | 'group' | 'role' | 'everyone' | 'parent_owner' | 'root_owner'`
|
||
- `principal_key`：根据principal_type确定其含义
|
||
- `user`：对应用户表 `user.id` 的字符串形式（如 `'12'`）
|
||
- `group`：对应用户组表 `group.id` 的字符串形式
|
||
- `role`：角色编码（如 `'super'`、`'sAdmin'`、`'pAdmin'`）
|
||
- `everyone`：固定为 `NULL`
|
||
- `parent_owner`：固定为 `NULL`
|
||
- `root_owner`：固定为 `NULL`
|
||
- **节点自身权限字段**
|
||
|
||
- `can_list_children`：是否可展开节点、列出子节点。
|
||
- `can_add_child_folder`：是否可在该节点下新增文件夹（`node_type='folder'`）。
|
||
- `can_add_child_doc`：是否可在该节点下新增文档（`node_type='doc'`）。
|
||
- `can_delete_node`：是否可删除该节点本身。
|
||
- `can_edit_node`：是否可修改该节点本身的元数据（名称、排序、owner 等）。
|
||
- **文档内容权限字段**
|
||
|
||
- `can_read_doc`：是否可读取文档内容。
|
||
- `can_edit_doc`：是否可编辑文档内容。
|
||
- `can_delete_doc`：是否可删除文档节点。
|
||
- **对子节点操作权限字段**
|
||
|
||
- `can_delete_child_node`：是否有权删除“该节点的直接子节点”。
|
||
- `can_edit_child_node`：是否有权修改“该节点的直接子节点”的元数据（如 name、owner）。
|
||
|
||
**唯一约束建议：**
|
||
|
||
- `(tree, node_id, principal_type, principal_key)` 唯一。这样：
|
||
- 对于某棵树上的某个节点 + 某个主体，只会有一条“节点专属”权限记录；
|
||
- 对于某棵树上的某个主体，只会有一条“默认”规则；
|
||
- `tree IS NULL AND node_id IS NULL` 的记录则是“两棵树共用的唯一全局默认”。
|
||
|
||
---
|
||
|
||
## 三、主体集合（Principals）的构造
|
||
|
||
鉴权的第一步是，把“当前用户在权限系统里是谁”表达成一个**主体集合**，集合中的每个元素是一个 `(principal_type, principal_key)`。
|
||
|
||
设：
|
||
|
||
- 当前用户 id 为 `U`；
|
||
- 当前操作的节点 id 为 `N`；
|
||
- 当前节点所属的树为 `T`（`'standards'` 或 `'projects'`，可以从 `nodes` 表的字段`tree_type`获得 。
|
||
|
||
### 3.1 主体集合的组成
|
||
|
||
主体集合 `P` 至少包含以下几类元素：
|
||
|
||
1. **用户本身（user）**
|
||
|
||
- 元素：`('user', U.toString())`
|
||
2. **用户所属的所有组（group）**
|
||
|
||
- 从 `groupUser` 中查询：`WHERE user_id = U` 得到所有 `group_id`。
|
||
- 每个组生成一个主体：`('group', groupId.toString())`。
|
||
3. **用户的角色（role）**
|
||
|
||
- `users` 表有一个 `role` 字段（值为 `'super'` / `'sAdmin'` / `'pAdmin'`），可获取到角色。
|
||
- 生成主体：`('role', roleCode)`。
|
||
4. **everyone（所有人）**
|
||
|
||
- 固定加入：`('everyone', NULL)`。
|
||
5. **parent_owner（父节点 owner）**
|
||
|
||
- 先在 `nodes` 表中拿到当前节点的父节点 id：`parentId`。
|
||
- 若 `parentId` 大于 0，则再从 `node` 表读出该父节点的 `owner` 字段：
|
||
- 若 `owner == U`，说明当前用户是父节点的 owner，则加入：`('parent_owner', NULL)`。
|
||
- 否则不加入 `parent_owner`。
|
||
6. **root_owner（子树根节点 owner）**
|
||
|
||
- 定义一个函数 `isSubtreeRootOwner(N, U)`：
|
||
- 输入：当前节点 `N`、当前用户 `U`；
|
||
- 算法：根据节点的`code`（`nodes`表的字段`code`形如`001003002008`，表示该节点的祖先节点的`code`为`001`、`001003`、`001003002`）从数据库select出所有祖先节点的`owner`的`id`，判断当前用户`U`是否其中一员
|
||
- 输出：true或false。
|
||
- 在主体构造过程中：
|
||
- 若`isSubtreeRootOwner(N, U)` 返回`true`，说明当前用户是该子树根节点的 `owner`，则加入：`('root_owner', NULL)`；
|
||
- 否则不加入 `root_owner`。
|
||
|
||
最终，`P` 是一组主体元素（可能包含 user / group / role / everyone / parent_owner / root_owner）。
|
||
|
||
---
|
||
|
||
## 四、权限记录的分类：默认 vs 节点专属
|
||
|
||
在 `node_permission` 中，根据 `tree` 与 `node_id` 组合，可以区分三类规则：
|
||
|
||
1. **全局默认规则（对两棵树都生效）**
|
||
|
||
- 条件：`tree IS NULL AND node_id IS NULL`。
|
||
- 语义：对 standards 和 projects 的所有节点都生效。
|
||
2. **按树的默认规则**
|
||
|
||
- 条件：`tree = T AND node_id IS NULL`。
|
||
- 语义：只对树 `T` 的所有节点生效。
|
||
3. **节点专属规则**
|
||
|
||
- 条件：`tree = T AND node_id = N`。
|
||
- 语义：只对树 `T` 上的节点 `N` 生效，用来覆盖默认设置。
|
||
|
||
> 说明：当存在`node_id > 0` 的规则时，**不使用 `tree IS NULL` 以及`node_id IS NULL` 的记录**，这两个规则仅用于默认规则。
|
||
|
||
**优先级规则（同一主体维度）：**
|
||
|
||
对给定树 `T`、节点 `N`、主体 `(principal_type, principal_key)`，从最具体到最泛化依次为：
|
||
|
||
1. 节点专属规则：`tree = T AND node_id = N`；
|
||
2. 树级默认规则：`tree = T AND node_id IS NULL`；
|
||
3. 全局默认规则：`tree IS NULL AND node_id IS NULL`；
|
||
4. 如果以上三类都不存在，则该主体对该节点“没有任何配置”，视为该主体不给任何权限。
|
||
|
||
---
|
||
|
||
### 五、典型场景下的 `INSERT` 示例
|
||
|
||
#### 1. 全局默认 everyone：所有人只能展开树结构
|
||
|
||
对 **两棵树所有节点** 生效（`tree IS NULL AND node_id IS NULL`）：
|
||
|
||
```sql
|
||
INSERT INTO node_permission (
|
||
tree, node_id, principal_type, principal_key,
|
||
can_list_children,
|
||
can_add_child_folder, can_add_child_doc,
|
||
can_delete_node, can_edit_node,
|
||
can_read_doc, can_edit_doc, can_delete_doc,
|
||
can_delete_child_node, can_edit_child_node
|
||
) VALUES (
|
||
NULL, NULL, 'everyone', NULL,
|
||
1,
|
||
0, 0,
|
||
0, 0,
|
||
0, 0, 0,
|
||
0, 0
|
||
);
|
||
```
|
||
|
||
#### 2. 全局默认 parent_owner：父节点 owner 管理直接子节点
|
||
|
||
对两棵树所有节点生效，表达“父节点 owner 默认可以管理直接子节点”和“看子列表”：
|
||
|
||
```sql
|
||
INSERT INTO node_permission (
|
||
tree, node_id, principal_type, principal_key,
|
||
can_list_children,
|
||
can_add_child_folder, can_add_child_doc,
|
||
can_delete_node, can_edit_node,
|
||
can_read_doc, can_edit_doc, can_delete_doc,
|
||
can_delete_child_node, can_edit_child_node
|
||
) VALUES (
|
||
NULL, NULL, 'parent_owner', NULL,
|
||
1,
|
||
1, 1,
|
||
0, 0,
|
||
0, 0, 0,
|
||
1, 1 -- 修改直接子节点
|
||
);
|
||
```
|
||
|
||
#### 3. 全局默认 root_owner：子树根节点 owner 管理整棵子树
|
||
|
||
比如项目负责人（子树根的 owner）对整棵子树有较大权限：
|
||
|
||
```sql
|
||
INSERT INTO node_permission (
|
||
tree, node_id, principal_type, principal_key,
|
||
can_list_children,
|
||
can_add_child_folder, can_add_child_doc,
|
||
can_delete_node, can_edit_node,
|
||
can_read_doc, can_edit_doc, can_delete_doc,
|
||
can_delete_child_node, can_edit_child_node
|
||
) VALUES (
|
||
NULL, NULL, 'root_owner', NULL,
|
||
1,
|
||
1, 1,
|
||
1, 1,
|
||
1, 1, 1,
|
||
1, 1
|
||
);
|
||
```
|
||
|
||
4. standards 专用默认：技术标准管理员（角色 sAdmin）全权管理 standards
|
||
|
||
只对 standards 生效（projects 不受影响）：
|
||
|
||
```sql
|
||
INSERT INTO node_permission (
|
||
tree, node_id, principal_type, principal_key,
|
||
can_list_children,
|
||
can_add_child_folder, can_add_child_doc,
|
||
can_delete_node, can_edit_node,
|
||
can_read_doc, can_edit_doc, can_delete_doc,
|
||
can_delete_child_node, can_edit_child_node
|
||
) VALUES (
|
||
'standards', NULL, 'role', 'sAdmin',
|
||
1,
|
||
1, 1,
|
||
1, 1,
|
||
1, 1, 1,
|
||
1, 1
|
||
);
|
||
```
|
||
|
||
#### 5. projects 专用默认：项目管理员（角色 pAdmin）管理 projects
|
||
|
||
```sql
|
||
INSERT INTO node_permission (
|
||
tree, node_id, principal_type, principal_key,
|
||
can_list_children,
|
||
can_add_child_folder, can_add_child_doc,
|
||
can_delete_node, can_edit_node,
|
||
can_read_doc, can_edit_doc, can_delete_doc,
|
||
can_delete_child_node, can_edit_child_node
|
||
) VALUES (
|
||
'projects', NULL, 'role', 'pAdmin',
|
||
1,
|
||
1, 1,
|
||
1, 1,
|
||
1, 1, 1,
|
||
1, 1
|
||
);
|
||
```
|
||
|
||
#### 6. 超级管理员专用默认：
|
||
|
||
```sql
|
||
INSERT INTO node_permission (
|
||
tree, node_id, principal_type, principal_key,
|
||
can_list_children,
|
||
can_add_child_folder, can_add_child_doc,
|
||
can_delete_node, can_edit_node,
|
||
can_read_doc, can_edit_doc, can_delete_doc,
|
||
can_delete_child_node, can_edit_child_node
|
||
) VALUES (
|
||
NULL, NULL, 'role', 'super',
|
||
1,
|
||
1, 1,
|
||
1, 1,
|
||
1, 1, 1,
|
||
1, 1
|
||
);
|
||
```
|
||
|
||
#### 7. 某个敏感节点对 everyone 做节点专属覆盖
|
||
|
||
假设节点 id = 123，是一个敏感目录，希望 **everyone 在这个节点上完全没有权限（连展开都不行）**，但其它节点仍按默认规则：
|
||
|
||
```sql
|
||
INSERT INTO node_permission (
|
||
tree, node_id, principal_type, principal_key,
|
||
can_list_children,
|
||
can_add_child_folder, can_add_child_doc,
|
||
can_delete_node, can_edit_node,
|
||
can_read_doc, can_edit_doc, can_delete_doc,
|
||
can_delete_child_node, can_edit_child_node
|
||
) VALUES (
|
||
'standards', 123, 'everyone', NULL,
|
||
0,
|
||
0, 0,
|
||
0, 0,
|
||
0, 0, 0,
|
||
0, 0
|
||
);
|
||
```
|
||
|
||
由于这是 `tree='standards' AND node_id=123 AND principal_type='everyone'` 的节点专属记录，会**覆盖**对全局默认 `everyone` 的配置。
|
||
|
||
#### 8. 针对某个用户在单节点上授予完全权限
|
||
|
||
例如用户 id = 42，在节点 500 上拥有完全权限（不依赖角色/owner）：
|
||
|
||
```sql
|
||
INSERT INTO node_permission (
|
||
tree, node_id, principal_type, principal_key,
|
||
can_list_children,
|
||
can_add_child_folder, can_add_child_doc,
|
||
can_delete_node, can_edit_node,
|
||
can_read_doc, can_edit_doc, can_delete_doc,
|
||
can_delete_child_node, can_edit_child_node
|
||
) VALUES (
|
||
'projects', 500, 'user', '42',
|
||
1,
|
||
1, 1,
|
||
1, 1,
|
||
1, 1, 1,
|
||
1, 1
|
||
);
|
||
```
|
||
|
||
## 六、计算“对某个节点的有效权限”的通用算法
|
||
|
||
我们定义一个抽象的“有效权限对象”，包含所有布尔权限字段：
|
||
|
||
- `can_list_children`
|
||
- `can_add_child_folder`
|
||
- `can_add_child_doc`
|
||
- `can_delete_node`
|
||
- `can_edit_node`
|
||
- `can_read_doc`
|
||
- `can_edit_doc`
|
||
- `can_delete_doc`
|
||
- `can_delete_child_node`
|
||
- `can_edit_child_node`
|
||
|
||
记这个对象为 `R`，初始时这十个值全部为 `false`。
|
||
|
||
### 6.1 输入
|
||
|
||
计算函数需要的输入信息：
|
||
|
||
- 用户 id：`U`
|
||
- 节点 id：`N`
|
||
- 树标识：`T ∈ {'standards', 'projects'}`
|
||
|
||
### 6.2 步骤 1：构造主体集合 `P`
|
||
|
||
按照第二节“主体集合的构造”的规则，从 `U`、`N`、`node`/`groupUser`/`user` 表中计算出主体集合 `P`。
|
||
|
||
结果是若干个 `(principal_type, principal_key)` 的集合，例如：
|
||
|
||
- `('user', '12')`
|
||
- `('group', '3')`
|
||
- `('role', 'sAdmin')`
|
||
- `('everyone', NULL)`（如果有一个全局everyone的配置以及对N节点的everyone配置，则只保留N节点自己的everyone配置）
|
||
- `('parent_owner', NULL)`（如果满足条件）
|
||
- `('root_owner', NULL)`（如果满足条件）
|
||
|
||
### 6.3 步骤 2：读取节点专属权限记录
|
||
|
||
在 `node_permission` 表中，查询**当前树 + 当前节点**的所有权限记录：
|
||
|
||
- 条件：`tree = T AND node_id = N`
|
||
|
||
结果是一组行，每行包含：
|
||
|
||
- `principal_type`
|
||
- `principal_key`
|
||
- 十个 `can_*` 布尔字段
|
||
|
||
这组记录可以在内存中按 `(principal_type, principal_key)` 组织成一个映射结构，后面用来快速查找：
|
||
|
||
- 键：某个主体 `(principal_type, principal_key)`
|
||
- 值：对应的一行权限记录。
|
||
|
||
### 6.4 步骤 3：读取默认权限记录（树级 + 全局）
|
||
|
||
在 `node_permission` 表中，查询**当前树相关的所有默认权限记录**：
|
||
|
||
- 条件：`(tree = T OR tree IS NULL) AND node_id IS NULL`
|
||
|
||
这些记录中：
|
||
|
||
- `tree = T` 的记录是“树级默认规则”；
|
||
- `tree IS NULL` 的记录是“全局默认规则”。
|
||
|
||
在内存中同样按 `(principal_type, principal_key, tree)` 或类似结构组织，以便后续对同一主体区分“树级默认”和“全局默认”。
|
||
|
||
### 6.5 步骤 4：按主体合并权限（带 tree 优先级）
|
||
|
||
对主体集合中的每一个主体 `p = (ptype, pkey)` 执行如下逻辑：
|
||
|
||
1. **查找节点专属记录**
|
||
|
||
- 在“节点专属映射”中查找键 `(ptype, pkey)` 对应的记录。
|
||
- 若存在，则记为 `row_node`。
|
||
2. **查找树级默认记录**
|
||
|
||
- 在“默认映射”中查找满足：
|
||
- `principal_type = ptype`
|
||
- `principal_key = pkey`
|
||
- `tree = T`
|
||
- 若存在，则记为 `row_tree_default`。
|
||
3. **查找全局默认记录**
|
||
|
||
- 在“默认映射”中查：
|
||
- `principal_type = ptype`
|
||
- `principal_key = pkey`
|
||
- `tree IS NULL`
|
||
- 若存在，则记为 `row_global_default`。
|
||
4. **确定权限**
|
||
|
||
- 如果 `row_node`存在用户`U` 的记录：使用 `row_node`中用户`U`的特定权限配置，其它配置全部忽略；
|
||
- 否则将`row_node`、 `row_tree_default`、`row_global_default`中的所有权限做并集，即只要其中一个赋予了权限，就有该权限，相应地给权限对象R赋值。
|
||
|
||
---
|
||
|
||
## 七、针对具体操作的鉴权规则
|
||
|
||
### 7.1 展开节点 / 查看子节点列表
|
||
|
||
**操作：** 展开节点 `N`，列出其直接子节点。
|
||
|
||
- 判断方法：
|
||
- 根据 `U, N, T` 计算一次有效权限 `R`。
|
||
- 若 `R.can_list_children == true`，则允许展开；否则禁止。
|
||
|
||
### 7.2 在节点下创建子文件夹 / 子文档
|
||
|
||
**操作：** 在节点 `N` 下创建子节点：
|
||
|
||
- 创建文件夹：新子节点 `node_type = 'folder'`。
|
||
- 创建文档：新子节点 `node_type = 'doc'`。
|
||
|
||
**判断方法：**
|
||
|
||
- 先对父节点 `N` 计算有效权限 `R`。
|
||
- 创建文件夹时：
|
||
- 允许条件：`R.can_add_child_folder == true`。
|
||
- 创建文档时：
|
||
- 允许条件：`R.can_add_child_doc == true`。
|
||
|
||
### 7.3 修改节点自身（重命名、改 owner 等）
|
||
|
||
**操作：** 修改节点 `N` 本身的元数据（名称、owner、排序等）。
|
||
|
||
**判断方法：**
|
||
|
||
- 对节点 `N` 计算有效权限 `R`。
|
||
- 允许条件：`R.can_edit_node == true`。
|
||
|
||
### 7.4 删除节点自身
|
||
|
||
**操作：** 删除节点 `N` 本身。
|
||
|
||
**判断方法：**
|
||
|
||
- 对节点 `N` 计算有效权限 `R`。
|
||
- 允许条件：`R.can_delete_node == true`。
|
||
|
||
### 7.5 文档内容的读取 / 编辑 / 删除
|
||
|
||
假设节点 `N` 是一个文档节点（`node_type = 'doc'`）。
|
||
|
||
- **读取文档内容：**
|
||
|
||
- 对节点 `N` 计算有效权限 `R`。
|
||
- 允许条件：`R.can_read_doc == true`。
|
||
- **编辑文档内容：**
|
||
|
||
- 对节点 `N` 计算有效权限 `R`。
|
||
- 允许条件：`R.can_edit_doc == true`。
|
||
- **删除文档文档节点：**
|
||
|
||
- 对节点 `N` 计算有效权限 `R`。
|
||
- 允许条件：`R.can_delete_doc == true` 。
|
||
|
||
### 7.6 删除子节点
|
||
|
||
**操作：** 在父节点 `P` 下，删除一个直接子节点 `C`（`C.parent = P`）。
|
||
|
||
- 允许条件：父节点 `P` 上的 `can_delete_child_node== true`；
|
||
|
||
### 7.7 修改子节点（name / owner 等）
|
||
|
||
**操作：** 在父节点 `P` 下，修改直接子节点 `C` 的元数据（名称、owner 等）。
|
||
|
||
- 允许条件：父节点 `P` 上的`can_edit_child_node== true`；
|