设计审查-基于角色的访问系统的性能和可伸缩性问题

Question

我正在设计授权服务。它根据分配给用户的角色和对内容设置的权限执行访问控制。用户可以属于多个组。这些组也可以属于其他组。一组下一组下一组的深度不是那么大。内容可以在用户级或组级共享。内容也可以与多个组共享。允许对内容执行的操作有读或读写。

以下是我对上述问题设计解决方案的想法。问题是，它看起来很简单。我担心我遗漏了一些会影响设计性能或可伸缩性的要点。这是设计图。

数据存储：每个用户可以有多个角色。角色是字符串，看起来像命名空间<代码>超群。组分组。rolename。每个内容可以有多个权限。权限是一个字符串，类似于带有操作类型前缀的命名空间<代码>可以读写。超群。组分组。rolename

授权算法授权函数算法如下所示（PS这只是为了展示基本知识，在实践中，角色和权限数组将被排序，并将使用某种形式的二进制搜索进行匹配）

public bool CanReadWrite(string[] roles, string[] permissions)
{
    foreach (var role in roles)
    {
        foreach (var permission in permissions.Where(s => s.StartsWith(canreadwrite)))
        {
            string barePermission = permission.Remove(0, canreadwrite.Length);

            if (role.StartsWith(barePermission))
            {
                return true;
            }
        }
    }

    return false;
}

你觉得这个设计有什么问题吗？有性能问题吗？可伸缩性问题？

Answer 1

除了两个名为canreadwrite或canread的非常奇怪的顶级小组之外，我找不到该方法的任何真正问题。如果一个愚蠢的Amministor创建了这样的组，你的算法就会失败。

因此，我建议使用类似于canreadwrite:supergroup的东西。组分组。rolename。

作为替代方案，您可以格式化rolehierarcy:permission这样的关联，使用StartsWith（roleName）测试角色，并使用EndsWith（“：”permissionName）测试权限。

例如超群。组分组。rolename:canreadwrite

Answer 2

您的应用程序不太清楚，尤其是这些用户组层次结构与角色/权限设计的关系。

首先，我避免自己实现二进制搜索，而只是使用字典。

其次，我假设您可能有大量的内容项和大量的用户。看起来每个内容项都可能有大量的“虚线权限字符串”，但为了提高性能和维护权限，应该将每个内容的角色/权限条目数保持在较小的范围内。

也许您可以将角色定义/维护从这些用户组层次结构中分离出来，即内容项只“知道”某些角色，而不知道这些组。

第三，如果你真的需要层次结构的用户组，我会考虑允许在更高级别的组上附加角色/权限，以避免需要在最低级别上定义/维护角色/权限（假设可能有许多低级别的组）。

s、 a.维基百科上的RBAC