共计 5067 个字符，预计需要花费 13 分钟才能阅读完成。
作者:Worktile 后端开发工程师霍世杰
Worktile 是国内最优良的企业级我的项目合作与指标管理工具之一，这个我的项目曾经继续了 9 年之久，书写了研发团队的历史长卷，我作为“后来者”有幸地参加其中。在过来研发的一年里，做的事件大多数是对原有性能的加强和重构，也学习和总结了 一点点 Worktile 核心技术和常识，本文就是其中之一—— 权限零碎。
Worktile 的权限异样简单，在开发中，从纳闷到深刻，再到起初的望之止步，直至最终的克服，这其中屡次与共事的交换，又屡次的总结，逐步地清晰，到当初对它进行了我认为比拟全面的总结，上面就跟大家一起 揭秘(分享) 这块简单而精彩的内容。
一、Worktile 帐户体系
首先总览一下 Worktile 的帐户体系。在此之前，先介绍一下该零碎：它是多租户零碎的一种，在我接触过的多租户零碎中，有两种类型，一种是像企业微信，飞书，它们的租户类型有用户和团队 / 组织 / 企业，那么这类利用的帐户体系 就有两个用户概念，一个是零碎用户，一个是团队成员；而另一种就是 Worktile，租户类型 是 企业 / 团队 / 组织的，它是不含集体租户，所有业务的根底条件是 团队(team)，所以权限这块也是基于 团队成员来管制的。
目前比拟支流的权限设计模型，一种是 ACL(Access Control List)，是次要是基于用户来管制权限，而另一种是 RBAC 模型（Role-Based Access Control）基于角色的访问控制，而这两种在 Worktile 中都有波及，在绝大部分是 RBAC 模型，大量的权限是基于用户设计和管制的。
上图中，能够看到 Worktile 权限是由性能权限和数据权限两局部组成，上面对这性能权限和数据权限两局部 具体解说。
二、设计与实现
性能权限和数据权限都是基于利用的维度来划分的，Worktile 现有的利用有我的项目、工作、指标(OKR)、音讯、日历、审批、网盘、考勤 …… (更多理解点 这里)。
性能权限
设计
性能权限是齐全依照 RBAC 模型 设计的，关系为：
由两局部组成：操作权限和可见权限，是依照利用模块的维度划分的，每个利用模块下散布多个权限点和可见范畴。
给用户出现的模式是在利用的后盾—> 角色治理中 (见下图)，其中企业角色蕴含两局部：1. 零碎默认角色(所有者、管理员、成员、部门主管) 2. 自定义角色，权限列表(下图右侧) 中，打对勾的代表该角色已领有的权限，数据范畴 代表 该角色 在 利用内的可见维度。
可操作权限
可见权限
实现
在传统关系型数据库的设计，根本都是三张表：角色表，权限表，角色权限关联表，如果校验一个或一组权限，是须要三表关联查问的。
而在 Worktile 中则不然，采纳的贮存形式是：非关系型数据库 Mongodb + 零碎配置文件，由一张表来体现，权限列表由零碎配置文件存储。
Mongodb，人造反对数组和 JSON 类型的数据贮存，在角色和权限的关联配置中更为灵便，这一环在此设计中，不可或缺！
配置文件次要存储的是权限列表，零碎内置，前端也须要一份配置是因为列表展现地位匹配。
为何这么设计？
数据库是因为整个产品的主库就是 Mongodb，这也是最大的起因；权限列表之抉择配置文件贮存，我猜测 是因为权限是零碎内置，并且是固定的，改变频率较低，所以没有必要每次都要再交互一次数据库，不仅是性能权限如此，上面谈到的数据权限亦是如此。
零碎的权限列表
配置的数据结构大抵如下(以下只是阐明构造，并非理论数据)：
一级节点的 key 代表的是利用模块，二级节点的 key 代表权限点，value 为权限的形容，具体如下：
角色与权限的关联配置
在 Worktile 中只须要一张角色表足矣！构造如下(关键字段): id,name,privileges,is_system，其中外围字段是 privileges，该字段记录的是权限项，是一个 json，具体如右下图。
privileges 中一级节点是利用模块，value 是角色领有的权限值，该值是以 0 和 1 组成的字符串组成，其中 1 代表领有，0 代表未领有，每个字符排列的地位是由配置文件中的 storage_position 字段；scope 是可见范畴。
应用
上面基于上述实现对以下三种常见场景的应用：
获取角色下所有的权限列表 以及 领有状态(后盾治理)
获取一个成员的所有权限(登录后前端须要贮存的用户权限)
校验一个企业成员是否领有某个权限(API 申请对成员的鉴权)
ps: 只举例一种，剩下两种相似。
三、数据权限
看完后面 性能权限的实现 大家应该感觉十分的简略，如果上面还抱着这种心态，那可就真是小看它了，在此 我也心愿大家 可能在上面仔细阅读，领会其中的设计，文章较长，有不明确或须要探讨的欢送评论留言。
在数据权限的设计中，各行各业大多不尽相同，这是由业务来决定的，Worktile 的业务就十分的简单，所以 权限也随之简单，Worktile 中利用模块很多，因为篇幅起因不会在文中全副解说，只挑一些典型给大家分享一下。
我这里以 Worktile 外围模块 mission(我的项目、工作) 来解说剖析，mission 是十分值得一说的，精彩在于可能容许用户 高度自定义配置，模块下的角色和权限都是可配置的(这里阐明一下非上述零碎角色和权限)。
因为业务的简单，不得不在这里给大家从一些界面截图进行演示，有纳闷的中央欢送提出。
我的项目(Project)
概览
我的项目是工作的汇合，我的项目合成出多个工作，我的项目中有组件(以不同维度 对 工作 的展现和治理)
我的项目权限的分为可操作权限和可见权限。
可操作的权限
对应的页面
可见权限
规定为：公开我的项目所有成员可见，公有我的项目只有已退出的成员可见。
可见范畴
公有我的项目已退出的成员
到当初大家应该对我的项目和我的项目中的权限有了大体概念和认
设计
我的项目权限的设计中有角色模式、我的项目角色、权限三局部，这三者关系大抵为：
配置方面，有全局配置和我的项目内配置，全局配置的维度是全副的我的项目，我的项目设置是全局配置的延长，对单个我的项目的配置，我的项目的配置来源于全局配置。
角色模式 角色模式能够了解为角色组，在我的项目中必须领有一种角色模式，由零碎默认角色模式和用户自定义创立 两局部组成(见下图)。
全局配置
我的项目中配置(这里只能抉择全局配置好的角色模式)
我的项目角色我的项目角色有零碎内置角色(管理员、一般成员、只读成员) 和用户自定义角色(见下图)。
全局配置
我的项目中配置
我的项目权限在概览中，曾经介绍权限列表了，上面只展现配置和关联。
全局配置(角色关联权限)
我的项目中配置
从下面的设计中能够看出，其实这块的权限还算简略，上面从技术角度解说一下具体的实现。
我的项目权限的实现是由三张表和一个配置实现的，别离是项目表(Project)、角色模式(RoleMode)、角色(Role) 和 权限列表的配置文件(PrivilegeConfig)。
关系：
一个我的项目能够配置多个角色模式，一对多，绑定字段在主表(Project) 的 role_modes。
每个角色模式能够创立多个角色，一对多，绑定字段在 从表(Role) 的 role_mode_id。
每种角色能够配置多个权限，关系是一对多，只不过这里的权限字段(permission_value) 是由 0 和 1 组成的 字符串，其中 0 代表 未领有，1 代表 领有。
我的项目的可见权限是通过我的项目两个字段来管制的，一个是 visibility(公开 / 公有)，另一个是 members(我的项目成员)，当我的项目是公开的，所有成员可见，当我的项目是公有的，只有成员列表存在的才可见。应用：
如何获取权限列表？服务端读取零碎配置文件，返回给前端，前端再映射对应地位展现即可。
如何获取角色对应的权限列表？服务端读取角色表找到对应 权限值(由 0 和 1 组成的字符串)，而后依据系统配置进行排序，返回给前端，前端通过 0 1 值排列和勾选。
如何验证成员的权限？1. 可见权限，首先判断 visibility 是公开还是公有，如果是公开我的项目所有成员可见，如果是公有其次判断 以后成员是否存在于我的项目成员 2. 如果验证的是操作权限，从项目表 (Project) 读取该成员的 id 和角色，再依据角色找到权限值(由 0 和 1 组成的字符串)，最初依据零碎配置文件对应权限的地位映射权限值的具体单个值，如果是 1 那么就领有此权限，反之未领有！
工作(Task）
概览
工作是工作内容的具体表现形式，工作能够对工作内容形容，流程管制，工作和工作之间的关联和派生。
ps：工作能够独自存在，也能够存在于我的项目中。
上面是理论场景中的应用
设计
工作的权限和我的项目的权限从设计上就有很大的不同，工作的权限 是由权限主导的，模型见下图。
其中波及角色模式、角色、权限模式、权限、平安级别模式、安全级别等概念， 平安模式和安全级别等同于 可见权限。
而其中与我的项目独特的局部是 角色模式。不同之处是工作角色是由我的项目角色和工作角色(工作负责人, 参加人等) 组成，而次要设计形式是通过 配置工作类型权限来管制工作的权限，换一种说法讲给工作配置权限，不如说给工作类型 配置权限，这两者是能够划等号的。
什么是工作类型？
见名知意，就是工作的所属类型，之所以 Worktile 实用于大多数企业的起因也是外围就是工作类型，同时也反对企业成员创立和自定义。
理论中应用的工作类型
注：工作 有且只能 领有一个 工作类型
可操作权限
权限模式权限模式是多个权限的汇合，也可了解为权限组，由零碎内置权限模式(通用权限模式、软件权限模式等) 和用户自定义权限模式(见下图)。
全局配置
我的项目中工作类型的权限配置
权限模式 与 角色模式
权限模式、角色模式与角色的关联
权限模式、角色与权限的 关联
权限
零碎内置权限：零碎定义不可更改的属性权限，比方创立工作，归档工作，拷贝工作 …… 等
工作属性权限：工作的属性是反对用户配置的，所以属性领有 属性权限，比方批改负责人，批改工作状态 ……
可见权限
工作中的可见权限，称为“安全级别”。由平安模式和安全级别两局部实现。
平安模式(零碎内置平安模式和自定义平安模式)
平安模式与角色模式平安模式与角色模式的绑定，示意该平安模式下哪些角色模式的角色可见。
平安模式与安全级别
安全级别与角色示意哪些角色 (包含 我的项目角色和工作角色) 可见
我的项目中工作类型与安全级别的配置
实现
工作的权限波及 9 张表，3 个配置文件。
表及关系：
Task 工作表、TaskType 工作类型表，一对一的关系，关联字段在主表 Task 的 task_type_id。
PermissionMode: 权限模式表，与工作类型是多对一的关系，一个工作类型有多种权限模式。
TaskPermission：工作权限字典表，是通过零碎配置文件(system task permissions) 初始化到该表中的，与权限模式 的关系是多对一，一个权限模式对应多个权限项，关联字段 selectable_permission，留神该字段是同步到 权限模式下，后续供角色来抉择。
RoleMode: 角色模式表，与权限模式是一对一的关系，一个权限模式绑定一个角色模式。
Role: 角色表，与角色模式表是多对一的关系。
PermissionRole: 权限角色表，与权限模式是多对多的关系，该表的权限必须是从权限模式下的权限项 中抉择，角色必须是该权限模式下绑定的角色模式下的角色中抉择。
SecurityMode: 平安模式表，配置的是工作的可见权限，是从零碎配置文件初始化到数据库中，与角色模式是一对一的关系，一个平安模式绑定一个角色模式。
Security: 安全级别表，配置的是工作角色 (含工作内置角色和默认角色模式下的角色) 的可见权限，也是 从零碎配置文件初始化到数据库中的，与工作角色是一对一的关系，与平安模式是多对一的关系，一个平安模式下能够配置多个角色。
应用逻辑：
查看一个成员领有工作的操作权限
查看一个成员是否对一条工作有可见权限
四、总结
文中所讲权限整体是依照 RBAC 模型设计
权限列表均采取 配置文件的形式贮存，益处是轻量，缩小连表简单操作，较少的与数据库交互
文中 mission 模块的数据权限：
我的项目可操作权限是角色组 + 角色 + 权限
我的项目可见权限绑定是成员
工作的权限是权限组 + 权限 + 角色组 + 角色来管制工作属性
非常感谢可能认真浏览到这里的搭档，如果文中有不明确或更好的意见欢送交换，期待更多揭秘，还望继续关注 Worktile！
欢送进入官 Worktile
