ToB企服应用市场:ToB评测及商务社交产业平台

标题: 微服务和分布式系统中的授权解决方案 [打印本页]

作者: 大号在练葵花宝典 时间: 2022-11-24 15:22
标题: 微服务和分布式系统中的授权解决方案

本文是《精读 Mastering ABP Framework》 2.3 探索横切关注点 - 使用授权和权限系统 一节的扩充内容，重点探讨了授权在分布式和微服务系统中遇到的挑战，以及 ABP Framework 中采用的解决方案。

认证 & 授权

认证（Authentication）：确认用户身份
授权（Authorization）：授予用户访问资源的权限

关于认证和授权的基础内容，可参考：第7章探索横切关注点 - 使用授权和权限系统 。

在微服务和分布式系统，对于权限，我们需要考虑的更多，比如：如何在一个微服务中设置权限，而在另一个微服务中检测权限，以及权限如何集中管理。
分布式系统中，认证和授权信息通常以 令牌（Token） 方式描述，所以先了解令牌内容的格式以及令牌如何存储。
访问令牌

访问令牌内容如下：

访问令牌内容由多个声明（Claim）组成，包含标准声明和自定义声明。
标准声明（claims）

Sub: 用户Id
Role: 用户角色
Scope: 允许的范围

存储访问令牌

对于WEB应用程序，存储在浏览器本地存储（Local Storage），键为 access_token id_token 。

对于其他类型的应用程序，同样可以在获取到访问令牌之后，在本地存储。
授权类型 & 需求

基于声明的策略
开/关风格权限（通常是基于用户和角色）
- 开关数据保存在权限数据库中
自定义策略
- 检查权限数据库并直接应用自定义逻辑
基于资源的策略
- 检查权限数据库并根据请求的资源应用自定义逻辑

基于资源的策略

基于资源的策略，用一句话来描述就是：用户或客户端（C）是否可以在资源（R）上执行操作（A） ?
举个例子：权限控制：当前用户是否可以编辑产品信息?
我们使用基于资源的策略，来实现以上权限控制：操作（A）对应编辑；资源（R）对应产品信息；用户（C）对应当前用户。
关于编辑可能存在的授权逻辑：

如果产品被锁定，不允许
如果产品是由当前用户创建的，则允许
如果用户有编辑产品的权限，则允许，该权限由管理员管理用户
如果用户所属的角色有编辑权限，则允许
只有当用户在产品所属的部门中工作时，才允许

基于资源的策略，可以很好地处理以上授权逻辑。
需求：授权组件

设计一个良好的授权系统，我们通常需要考虑的四个点：

策略实施点
策略决策点
策略信息点
策略管理点

策略实施点（PEP: Policy Enforcement Point），即在哪里实施授权？ 在API网关中？还是在当前服务中?
策略决策点（PDP: Policy Decision Point）即在哪里执行授权逻辑？。在当前的过程中?还是在专门的服务中?
策略信息点（PIP: Policy Information Point）即 从哪里以及如何获取执行授权逻辑的数据？ 直接访问数据库？还是按需收集？
策略管理点（PAP: Policy Administration Point）即直接访问数据库?按需收集？ 通常系统中提供统一的管理界面。
架构讨论

基于前面授权组件的四个点，我们需要做一些讨论，以及清楚其实现方式的利弊。
讨论1：外部授权服务

策略实施点（PEP）发生在微服务中，在微服务中调用授权服务（PDP），进行权限控制。

如何获取应用数据？

直接从服务数据库中读取?
在授权服务调用发送数据?
将数据预复制到授权服务的数据库中?

其他问题:

授权服务调用上的网络延迟。
授权服务成为瓶颈。

讨论2：在API网关检查

策略实施点（PEP）发生在网关中，在网关中调用授权服务（PDP），进行权限控制。

优点

将授权逻辑与微服务解耦
防止未经授权的请求调用微服务

缺点

需要在API中自定义处理逻辑，受限于网关实现选择的技术
需要将权限映射到HTTP，如：URL, HTTP 方法和 HTTP头。

讨论3：授权类库

将策略实施点、策略决策点、策略信息点的操作封装为通用的类库，在微服务中调用管理权限。

优点

将授权逻辑与微服务逻辑解耦
应用程序数据可用
可以自定义授权逻辑

缺点

如果使用不同技术开发的微服务，如：.NET 、Python、Java，则存在问题，不能跨开发语言。

综合以上三种方案的优缺点，采用授权类库的方式。
讨论4：如何保存权限数据？

方式一：每个微服务在自己的数据库中都有自己的权限表?

难以管理(加载和保存)权限
很难得到所有的权限
服务的责任太大

方式二：一个中央权限数据库?

所有服务都通过授权库直接连接到该数据库。

综合以上两种方式，采用中央权限数据库，实现策略信息点。
讨论5：如何检查和管理所有权限？

方式一：询问所有微服务的权限需求？
问题：服务发现、性能、服务上的负载太多，难以管理权限。
方式二：计算微服务中的所有权限并在中心位置预缓存?
管理和刷新缓存非常困难，任意的数据更改可能会影响许多用户的权限，缓存会太大。
方式三：在权限管理服务的中心位置计算权限?
非常适合开/关风格的权限，对微服务内部的依赖最小。
综合以上三种方式，采用在权限管理服务的中心位置计算权限，实现策略管理点（PAP）。
ABP 解决方案

基于以上的架构分析，我们来看一看在 ABP Framework 中的具体实现。
权限管理

定义权限