Go Gin Gorm Casbin权限管理实现 - 3. 实现Gin鉴权中间件

LeoForBest2023-10-07 20:00

文章目录

  • [0. 背景](#0. 背景)
  • [1. 准备工作](#1. 准备工作)
  • [2. gin中间件](#2. gin中间件)
    • [2.1 中间件代码](#2.1 中间件代码)
    • [2.2 中间件使用](#2.2 中间件使用)
    • [2.3 测试中间件使用结果](#2.3 测试中间件使用结果)
  • [3. 添加权限管理API](#3. 添加权限管理API)
    • [3.1 获取所有用户](#3.1 获取所有用户)
    • [3.2 获取所有角色组](#3.2 获取所有角色组)
    • [3.3 获取所有角色组的策略](#3.3 获取所有角色组的策略)
    • [3.4 修改角色组策略](#3.4 修改角色组策略)
    • [3.5 删除角色组策略](#3.5 删除角色组策略)
    • [3.6 添加用户到组](#3.6 添加用户到组)
    • [3.7 从组中删除用户](#3.7 从组中删除用户)
    • [3.8 测试API](#3.8 测试API)
  • [4. 最终目录结构和代码](#4. 最终目录结构和代码)
    • [4.1 main.go](#4.1 main.go)
    • [4.2 casbin.go](#4.2 casbin.go)
    • [4.3 middleware.go](#4.3 middleware.go)
  • [5. 更进一步](#5. 更进一步)

0. 背景

Casbin是用于Golang项目的功能强大且高效的开源访问控制库。

强大通用也意味着概念和配置较多，具体到实际应用(以Gin Web框架开发）需要解决以下问题：

  • 权限配置的存储，以及增删改查
  • Gin框架的中间件如何实现

经过一番摸索实践出经验，计划分为三个章节，循序渐进的介绍使用方法
1. Casbin概念介绍以及库使用
2. 使用Gorm存储Casbin权限配置以及增删改查
3.实现Gin鉴权中间件

代码地址 https://gitee.com/leobest2/gin-casbin-example

1. 准备工作

上一章已实现了casbin和gorm权限模型设计以及增删改查操作，本章在此基础上，实现以下需求

  1. 集成到gin中，添加一个鉴权中间件
  2. 提供角色，用户增删改查API接口:

至此当前目录结构

.
├── casbin.go
├── go.mod
├── go.sum
└── test.db

casbin.go完整代码见上一章结尾:

2. gin中间件

2.1 中间件代码

添加一个middleware.go, 这里简便起见，假设用户从url传递 /xxxx?username=leo，实际应用中可以结合jwt等鉴权

HTTP GET /api/user?username=leo

go 复制代码 
package main

import "github.com/gin-gonic/gin"

func NewCasbinAuth(srv *CasbinService) gin.HandlerFunc {
	return func(ctx *gin.Context) {
		err := srv.enforcer.LoadPolicy()
		if err != nil {
			ctx.String(500, err.Error())
			ctx.Abort()
			return
		}
		// 简便起见，假设用户从url传递 /xxxx?username=leo，实际应用可以结合jwt等鉴权
		username, _ := ctx.GetQuery("username")
		ok, err := srv.enforcer.Enforce(username, ctx.Request.URL.Path, ctx.Request.Method)
		if err != nil {
			ctx.String(500, err.Error())
			ctx.Abort()
			return
		} else if !ok {
			ctx.String(403, "验证权限失败!")
			ctx.Abort()
			return
		}
		ctx.Next()
	}
}

2.2 中间件使用

main.go

go 复制代码 
package main

import (
	"github.com/gin-gonic/gin"
	"github.com/glebarez/sqlite"
	"gorm.io/gorm"
)

func main() {
	db, err := gorm.Open(sqlite.Open("test.db"), &gorm.Config{})
	if err != nil {
		panic("failed to connect database: " + err.Error())
	}

	casbinService, err := NewCasbinService(db)
	if err != nil {
		panic("failed to new casbin service: " + err.Error())
	}

	r := gin.Default()
	auth := r.Group("/api")
	auth.Use(NewCasbinAuth(casbinService))

	auth.GET("/api/user", func(ctx *gin.Context) {
		ctx.String(200, "get /api/user success")
	})

	auth.DELETE("/api/user", func(ctx *gin.Context) {
		ctx.String(200, "delete /api/user success")
	})

	r.Run(":8000")
}

2.3 测试中间件使用结果

测试权限数据库内容

ptype v0 v1 v2 v3 v4 v5
p admin /api/user GET
p admin /api/user DELETE
p user /api/user GET
g leo admin
g leo2 user

测试脚本

bash 复制代码 
# 权限失败
curl -X GET 'http://localhost:8000/api/user?username=guest'
# 权限成功
curl -X GET 'http://localhost:8000/api/user?username=leo'
# 权限成功
curl -X DELETE 'http://localhost:8000/api/user?username=leo'
# 权限失败
curl -X DELETE 'http://localhost:8000/api/user?username=leo2'

测试结果

3. 添加权限管理API

以下使用上一章casbin_service提供的方法，示例API如下，可进一步定制

3.1 获取所有用户

go 复制代码 
  // 获取所有用户
	auth.GET("/casbin/users", func(ctx *gin.Context) {
		ctx.JSON(200, casbinService.GetUsers())
	})

3.2 获取所有角色组

go 复制代码 
  // 获取所有角色组
  auth.GET("/casbin/roles", func(ctx *gin.Context) {
		ctx.JSON(200, casbinService.GetRoles())
	})

3.3 获取所有角色组的策略

go 复制代码 
  // 获取所有角色组的策略
	auth.GET("/casbin/rolepolicy", func(ctx *gin.Context) {
		roles, err := casbinService.GetRolePolicy()
		if err != nil {
			ctx.String(500, "获取所有角色及权限失败: "+err.Error())
		} else {
			ctx.JSON(200, roles)
		}
	})

3.4 修改角色组策略

go 复制代码 
	/* 修改角色组策略
	  type RolePolicy struct {
	    RoleName string `gorm:"column:v0"`
	    Url      string `gorm:"column:v1"`
	    Method   string `gorm:"column:v2"`
	}
	*/
	auth.POST("/casbin/rolepolicy", func(ctx *gin.Context) {
		var p RolePolicy
		ctx.BindJSON(&p)
		err := casbinService.CreateRolePolicy(p)
		if err != nil {
			ctx.String(500, "创建角色策略失败: "+err.Error())
		} else {
			ctx.JSON(200, "成功!")
		}
	})

3.5 删除角色组策略

go 复制代码 
	/* 删除角色组策略
	  type RolePolicy struct {
	    RoleName string `gorm:"column:v0"`
	    Url      string `gorm:"column:v1"`
	    Method   string `gorm:"column:v2"`
	}
	*/
	auth.DELETE("/casbin/rolepolicy", func(ctx *gin.Context) {
		var p RolePolicy
		ctx.BindJSON(&p)
		err := casbinService.DeleteRolePolicy(p)
		if err != nil {
			ctx.String(500, "删除角色策略失败: "+err.Error())
		} else {
			ctx.JSON(200, "成功!")
		}
	})

3.6 添加用户到组

go 复制代码 
  // 添加用户到组, /casbin/user-role?username=leo&rolename=admin
  auth.POST("/casbin/user-role", func(ctx *gin.Context) {
    username := ctx.Query("username")
    rolename := ctx.Query("rolename")
    err := casbinService.UpdateUserRole(username, rolename)
    if err != nil {
			ctx.String(500, "添加用户到组失败: "+err.Error())
		} else {
			ctx.JSON(200, "成功!")
		}
  })

3.7 从组中删除用户

go 复制代码 
	// 从组中删除用户, /casbin/user-role?username=leo&rolename=admin
	auth.DELETE("/casbin/user-role", func(ctx *gin.Context) {
		username := ctx.Query("username")
		rolename := ctx.Query("rolename")
		err := casbinService.DeleteUserRole(username, rolename)
		if err != nil {
			ctx.String(500, "从组中删除用户失败: "+err.Error())
		} else {
			ctx.JSON(200, "成功!")
		}
	})

3.8 测试API

因为这些API也用到了casbin_auth，需要自行准备下权限
> 上述API测试两个，不一一列举



4. 最终目录结构和代码

目录结构

. 复制代码 
├── casbin.go
├── go.mod
├── go.sum
├── main.go
├── middleware.go
└── test.db

4.1 main.go

go 复制代码 
package main

import (
	"github.com/gin-gonic/gin"
	"github.com/glebarez/sqlite"
	"gorm.io/gorm"
)

func main() {
	db, err := gorm.Open(sqlite.Open("test.db"), &gorm.Config{})
	if err != nil {
		panic("failed to connect database: " + err.Error())
	}

	casbinService, err := NewCasbinService(db)
	if err != nil {
		panic("failed to new casbin service: " + err.Error())
	}

	r := gin.Default()
	auth := r.Group("/")
	auth.Use(NewCasbinAuth(casbinService))

	auth.GET("/api/user", func(ctx *gin.Context) {
		ctx.String(200, "get /api/user success")
	})

	auth.DELETE("/api/user", func(ctx *gin.Context) {
		ctx.String(200, "delete /api/user success")
	})

	// 获取所有用户
	auth.GET("/casbin/users", func(ctx *gin.Context) {
		ctx.JSON(200, casbinService.GetUsers())
	})

	// 获取所有角色组
	auth.GET("/casbin/roles", func(ctx *gin.Context) {
		ctx.JSON(200, casbinService.GetRoles())
	})

	// 获取所有角色组的策略
	auth.GET("/casbin/rolepolicy", func(ctx *gin.Context) {
		roles, err := casbinService.GetRolePolicy()
		if err != nil {
			ctx.String(500, "获取所有角色及权限失败: "+err.Error())
		} else {
			ctx.JSON(200, roles)
		}
	})

	/* 修改角色组策略
	  type RolePolicy struct {
	    RoleName string `gorm:"column:v0"`
	    Url      string `gorm:"column:v1"`
	    Method   string `gorm:"column:v2"`
	}
	*/
	auth.POST("/casbin/rolepolicy", func(ctx *gin.Context) {
		var p RolePolicy
		ctx.BindJSON(&p)
		err := casbinService.CreateRolePolicy(p)
		if err != nil {
			ctx.String(500, "创建角色策略失败: "+err.Error())
		} else {
			ctx.JSON(200, "成功!")
		}
	})

	/* 删除角色组策略
	  type RolePolicy struct {
	    RoleName string `gorm:"column:v0"`
	    Url      string `gorm:"column:v1"`
	    Method   string `gorm:"column:v2"`
	}
	*/
	auth.DELETE("/casbin/rolepolicy", func(ctx *gin.Context) {
		var p RolePolicy
		ctx.BindJSON(&p)
		err := casbinService.DeleteRolePolicy(p)
		if err != nil {
			ctx.String(500, "删除角色策略失败: "+err.Error())
		} else {
			ctx.JSON(200, "成功!")
		}
	})

	// 添加用户到组, /casbin/user-role?username=leo&rolename=admin
	auth.POST("/casbin/user-role", func(ctx *gin.Context) {
		username := ctx.Query("username")
		rolename := ctx.Query("rolename")
		err := casbinService.UpdateUserRole(username, rolename)
		if err != nil {
			ctx.String(500, "添加用户到组失败: "+err.Error())
		} else {
			ctx.JSON(200, "成功!")
		}
	})

	// 从组中删除用户, /casbin/user-role?username=leo&rolename=admin
	auth.DELETE("/casbin/user-role", func(ctx *gin.Context) {
		username := ctx.Query("username")
		rolename := ctx.Query("rolename")
		err := casbinService.DeleteUserRole(username, rolename)
		if err != nil {
			ctx.String(500, "从组中删除用户失败: "+err.Error())
		} else {
			ctx.JSON(200, "成功!")
		}
	})

	r.Run(":8000")
}

4.2 casbin.go

go 复制代码 
package main

import (
	"github.com/casbin/casbin/v2"
	"github.com/casbin/casbin/v2/model"
	gormadapter "github.com/casbin/gorm-adapter/v3"
	"gorm.io/gorm"
)

/*
按如下约定:
  1. 所有策略只针对角色组设置
  2. 用户关联到组(一个用户可以有多个组)
+-------+-------+-----------+--------+----+----+----+
| ptype | v0    | v1        | v2     | v3 | v4 | v5 |
+-------+-------+-----------+--------+----+----+----+
| p     | admin | /api/user | GET    |    |    |    |
+-------+-------+-----------+--------+----+----+----+
| p     | admin | /api/user | DELETE |    |    |    |
+-------+-------+-----------+--------+----+----+----+
| p     | user  | /api/user | GET    |    |    |    |
+-------+-------+-----------+--------+----+----+----+
| ...   | ...   | ...       |        |    |    |    |
+-------+-------+-----------+--------+----+----+----+
| g     | leo   | admin     |        |    |    |    |
+-------+-------+-----------+--------+----+----+----+
| g     | leo2  | admin     |        |    |    |    |
+-------+-------+-----------+--------+----+----+----+
| g     | leo3  | user      |        |    |    |    |
+-------+-------+-----------+--------+----+----+----+
*/
type CasbinService struct {
	enforcer *casbin.Enforcer
	adapter  *gormadapter.Adapter
}

func NewCasbinService(db *gorm.DB) (*CasbinService, error) {
	a, err := gormadapter.NewAdapterByDB(db)
	if err != nil {
		return nil, err
	}
	m, err := model.NewModelFromString(`[request_definition]
  r = sub, obj, act

  [policy_definition]
  p = sub, obj, act

  [role_definition]
  g = _, _

  [policy_effect]
  e = some(where (p.eft == allow))

  [matchers]
  m = g(r.sub, p.sub) && keyMatch2(r.obj,p.obj) && r.act == p.act`)
	if err != nil {
		return nil, err
	}
	e, err := casbin.NewEnforcer(m, a)
	if err != nil {
		return nil, err
	}
	return &CasbinService{adapter: a, enforcer: e}, nil
}

// (RoleName, Url, Method) 对应于 `CasbinRule` 表中的 (v0, v1, v2)
type RolePolicy struct {
	RoleName string `gorm:"column:v0"`
	Url      string `gorm:"column:v1"`
	Method   string `gorm:"column:v2"`
}

// 获取所有角色组
func (c *CasbinService) GetRoles() []string {
	return c.enforcer.GetAllRoles()
}

// 获取所有角色组权限
func (c *CasbinService) GetRolePolicy() (roles []RolePolicy, err error) {
	err = c.adapter.GetDb().Model(&gormadapter.CasbinRule{}).Where("ptype = 'p'").Find(&roles).Error
	if err != nil {
		return nil, err
	}
	return
}

// 创建角色组权限, 已有的会忽略
func (c *CasbinService) CreateRolePolicy(r RolePolicy) error {
	// 不直接操作数据库，利用enforcer简化操作
	err := c.enforcer.LoadPolicy()
	if err != nil {
		return err
	}
	_, err = c.enforcer.AddPolicy(r.RoleName, r.Url, r.Method)
	if err != nil {
		return err
	}
	return c.enforcer.SavePolicy()
}

// 修改角色组权限
func (c *CasbinService) UpdateRolePolicy(old, new RolePolicy) error {
	_, err := c.enforcer.UpdatePolicy([]string{old.RoleName, old.Url, old.Method},
		[]string{new.RoleName, new.Url, new.Method})
	if err != nil {
		return err
	}
	return c.enforcer.SavePolicy()
}

// 删除角色组权限
func (c *CasbinService) DeleteRolePolicy(r RolePolicy) error {
	_, err := c.enforcer.RemovePolicy(r.RoleName, r.Url, r.Method)
	if err != nil {
		return err
	}
	return c.enforcer.SavePolicy()
}

type User struct {
	UserName  string
	RoleNames []string
}

// 获取所有用户以及关联的角色
func (c *CasbinService) GetUsers() (users []User) {
	p := c.enforcer.GetGroupingPolicy()
	usernameUser := make(map[string]*User, 0)
	for _, _p := range p {
		username, usergroup := _p[0], _p[1]
		if v, ok := usernameUser[username]; ok {
			usernameUser[username].RoleNames = append(v.RoleNames, usergroup)
		} else {
			usernameUser[username] = &User{UserName: username, RoleNames: []string{usergroup}}
		}
	}
	for _, v := range usernameUser {
		users = append(users, *v)
	}
	return
}

// 角色组中添加用户, 没有组默认创建
func (c *CasbinService) UpdateUserRole(username, rolename string) error {
	_, err := c.enforcer.AddGroupingPolicy(username, rolename)
	if err != nil {
		return err
	}
	return c.enforcer.SavePolicy()
}

// 角色组中删除用户
func (c *CasbinService) DeleteUserRole(username, rolename string) error {
	_, err := c.enforcer.RemoveGroupingPolicy(username, rolename)
	if err != nil {
		return err
	}
	return c.enforcer.SavePolicy()
}

// 验证用户权限
func (c *CasbinService) CanAccess(username, url, method string) (ok bool, err error) {
	return c.enforcer.Enforce(username, url, method)
}

4.3 middleware.go

go 复制代码 
package main

import (
	"log"

	"github.com/gin-gonic/gin"
)

func NewCasbinAuth(srv *CasbinService) gin.HandlerFunc {
	return func(ctx *gin.Context) {
		err := srv.enforcer.LoadPolicy()
		if err != nil {
			ctx.String(500, err.Error())
			ctx.Abort()
			return
		}
		// 简便起见，假设用户从url传递 /xxxx?username=leo，实际应用可以结合jwt等鉴权
		username, _ := ctx.GetQuery("username")
		log.Println(username, ctx.Request.URL.Path, ctx.Request.Method)
		ok, err := srv.enforcer.Enforce(username, ctx.Request.URL.Path, ctx.Request.Method)
		if err != nil {
			ctx.String(500, err.Error())
			ctx.Abort()
			return
		} else if !ok {
			ctx.String(403, "验证权限失败!")
			ctx.Abort()
			return
		}
		ctx.Next()
	}
}

5. 更进一步

主要记录一下casbin概念和使用经验，距离业务使用还有以下等需要调整

  • 用户身份识别是通过URL参数username获得，实际使用中可配合jwt、session等使用
  • API接口可根据业务规范调整重写
  • 用户其他信息需要关联到casbin_rule表
  • 增加前端界面操作管理权限
  • ...
相关推荐
Villiam_AY3 小时前
goredis常见基础命令
redis·golang
PyAIGCMaster3 小时前
50周学习go语言：第四周 函数与错误处理深度解析
开发语言·学习·golang
PyAIGCMaster3 小时前
第二周补充：Go语言中&取地址符与fmt函数详解
开发语言·后端·golang
闲猫9 小时前
go orm GORM
开发语言·后端·golang
丁卯4049 小时前
Go语言中使用viper绑定结构体和yaml文件信息时，标签的使用
服务器·后端·golang
jingwang-cs1 天前
内外网隔离文件传输解决方案｜系统与钉钉集成+等保合规，安全提升70%
安全·中间件·钉钉·安全架构
卑微的小鬼1 天前
rpc和http的区别，为啥golang使用grpc 不使用http？
http·rpc·golang
WeiLai11121 天前
面试基础--微服务架构：如何拆分微服务、数据一致性、服务调用
java·分布式·后端·微服务·中间件·面试·架构
大脑经常闹风暴@小猿1 天前
1.1 go环境搭建及基本使用
开发语言·后端·golang
tekin1 天前
Go、Java、Python、C/C++、PHP、Rust 语言全方位对比分析
java·c++·golang·编程语言对比·python 语言·php 语言·编程适用场景
热门推荐
01DeepSeek各版本说明与优缺点分析02如何在WPS和Word/Excel中直接使用DeepSeek功能03DeepSeek本地部署详细指南04太炸裂了！清华大学deepseek从入门到精通使用手册又出第三版了，《普通人如何抓住DeepSeek红利》（无套路，直接下载）05本地部署DeepSeek教程（Mac版本）06DeepSeek r1本地安装全指南07DeepSeek R1本地化部署 Ollama + Chatbox 打造最强 AI 工具08本地化部署AI知识库：基于Ollama+DeepSeek+AnythingLLM保姆级教程09在Windows下安装Ollama并体验DeepSeek r1大模型10DeepSeek RAGFlow构建本地知识库系统