MongoDB + Node JS + Role Based Access Control (RBAC)

Ich mag Namen gegeben, Sie zu Rollen GOTT, SUPER-HELDEN & MANN, leicht zu verstehen.

Als Sie über MEINE Stapel und vieles Routen-Validierung geschieht auf node ich würde lieber halten der Rollen-Tabelle einfach.

Rollen :

{
_id : 1,
name : GOD,
golbalPerms : true
},
{
_id : 2,
name : SUPER HERO,
privatePerms : true
},
{
_id : 3,
name : MAN
}

Benutzer :

{
_id : 111,
name : Jesus,
roleId : 1
},
{
_id : 222,
name : BatMan,
roleId : 2
},
{
_id : 333,
name : Jack,
roleId : 3
}

Wenn der Benutzer sich anmeldet, und senden user Objekt zurück zum client, stellen Sie sicher, Sie zu ersetzen roleId mit entsprechenden role Objekt aus der DB.

Kommen, um code auf Node JS :

Vollständig verstehen Ihren Anwendungsfall können wir teilen Sie in folgende Methoden -

• CreateUser

• CreateTodo

• DeleteTodo

• ReadTodo

• UpdateTodo

• CommentTodo

• AssignTodo

Lets go, Schritt für Schritt, CreateUser.

Routen code-snippet :

app.all('/users', users.requiresLogin);

//Users Routes
app.route('/users')
    .post(users.hasPerms('globalPerms'), users.create);

In Ihrem Controller können Sie überprüfen, basiert auf der Eingabe globalPerms, wenn validierte ermöglichen zu erstellen, die Benutzer durch den Aufruf next() sonst return mit der entsprechenden Fehlermeldung.

Nun CreateTodo && DeleteTodo :

Beide ziemlich viel Arbeit auf gleiche Logik mit einem kleinen trick.

Routen code-snippet :

app.all('/todos', users.requiresLogin);

//Users Routes
app.route('/todos')
    .post(users.hasPerms('globalPerms','privatePerms'), todos.create);
    .delete(users.hasPerms('globalPerms','privatePerms'), todos.delete);

Für die Erstellung einer Todo, globalPerms sind mit GOTT & privatePerms sind mit SUPER HERO, die beide von Ihnen können zugelassen werden.

Trick, hier wird in todos.delete Methode, nur damit user.id === todos.createById sonst SUPER HELD kann gehen, um zu löschen Todos, die von GOTT geschaffen.

ReadTodo :

Wenn ein TODO erstellt wird, sollte es eine createById gespeichert, ebenso wenn ein TODO zugeordnet ist jemand dann assignedTo und assignedBy sollte aufgenommen werden, auch.

Dies macht viel anderen Operationen leicht zu handhaben.

user.role.globalPerms - geben GOTT alle TODO ' s Daten.

user.role.privatePerms - geben Sie Aufgaben, die entweder createdBy ihm/Ihr oder ihm zugeordnet.

user.role.globalPerms === undefined && user.role.privatePerms === undefined - Ihren MANN und geben Aufgaben, die nur assignedTo ihn.

UpdateTodo & CommentTodo :

Dies ist eine exakte Replik von dem, was ReadTODO nicht so DIY -

Letzte, AssignTodo :

Einfache, die loggedInUser.id === todos.createdById dann kann er zuordnen, es niemandem.

Zwei Dinge zu beachten hier :

1. Zuordnung Teil geschieht meist auf UI-Elemente (Winkel -) vor, ich gegeben haben, das Konzept zu überprüfen loggedInUser.id === todos.createdById. Angemeldete Benutzer alle Möglichkeiten sehen, wie alle TODO ' s durch gelesen, Betrieb und zuordnen können es jedem, der er/Sie mag.

2. Stellen Sie sicher, dass eine SUPER HERO kann nur weisen Sie eine TODO-sich selbst oder anderen SUPER-HELD oder ein MANN, aber nicht GOTT. Zeigen, wie Sie Zuweisen Optionen in der Benutzeroberfläche vor, liegt außerhalb des Rahmens dieser Frage. Dies ist nur ein heads-up.

Ich hoffe, das war klar.

ANMERKUNG : Es gab keine Notwendigkeit zu geben, die Berechtigungen zu den MENSCHEN in Rollen Sammlung & wir haben es geschafft alle möglichen Operationen mit sich, dass.

Mögliche Ansatz-> haben, die Rolle, die eingebettet in der user-Auflistung/schema:
Benutzer-Dokument gelten die folgenden:

{
    _id : "[email protected]",
    name: "lorem ipsum",
    role: "MAN"
}

Als Sie in Ihrem post beschreibt, kann nur Gott machen, und weisen Sie Aufgaben.
Rollen Sammlung kann halten Sie die folgenden:

{
    _id : "MAN",
    globalPerm: [],
    privatePerm: [],
    assignedPerm: ["r","u"],
},
{
    _id : "SUPER_HERO",
    globalPerm: [],
    privatePerm: ["c","r","u","d"],
    assignedPerm: ["c","r","u","d"],
},
{
    _id : "GOD",
    globalPerm: ["c","r","u","d"],
    privatePerm: ["c","r","u","d"],
    assignedPerm: ["c","r","u","d"],
}

Node JS Middlewares
Nachdem man die richtige Berechtigung Werte für einen Benutzer, die Sie möglicherweise verwenden möchten middlewares.
Beispiel-express-HTTP-request-route:

app.post('/updateTodo', permissions.check('privatePerm', 'c'), function (req, res) {
 //do stuff

};

Berechtigungen.überprüfen Sie aufgerufen wird, bevor tatsächlich ausgeführten Funktion Körper, um die update-TODO.

Daher, wenn ein Benutzer versucht, ein update todo, wird es zuerst überprüfen Sie die entsprechenden Berechtigungen.