1. Oinone社区首页
  2. Oinone 7天入门到精通

6.5 权限体系（改）

史, 昂 • • Oinone 7天入门到精通 • 阅读 1252

做好企业级软件，首先得过权限这一关

在企业的IT部门沟通中，权限是避免不了。自嘲下在我们刚出来创业时，为了收获客户对我们技术能力的信任，每每与跟客户沟通时都会说我们是阿里出来的，但在权限设计这个环节不那么灵验，反而被打上了不懂B端权限设计的标签，会问很多问题。我就很奇怪难道大厂就没有内部管理系统了？大厂只有C端交易，没有B端交易？但从侧面说明权限不简单还特别重要。做好企业级软件，首先得过权限这一关。

整体介绍

  1. 对于平台运行来说，权限是必须，但我们的auth模块不是必须的，auth模块只是我们提供的一种默认实现，客户可以根据平台的spi机制进行替换。auth模块利用了平台的Hook特性做到与业务无关，在我们开发上层应用的时，是不用感知它的存在的。

  2. auth模块涉及：功能权限、数据权限

    1. 数据权限：行权限和列权限。备注：数据权限的控制只能用于【存储模型】

      1. 表级权限：表达的语义是：是否该表可读/写（修改和新增）

      2. 列权限：表达的语义是：是否该列可读/写（修改和新增）

      3. 行权限：表达的语义是：是否对该行可读/写（修改）/删除

    2. 功能权限：表达的语义是ServerAction/Function是否可执行/展示，viewAction是否可展示，菜单是否可以显示

    3. 范围说明：

      1. 配置多个权限项的时候，取并集

      2. 配置多个角色的时候，取并集

  3. 模型设计

image.png

产品体验

Step1 创建角色

通过App Finder 切换至【权限】应用，点击新增按钮创建一个名为oinone的角色

image.png

image.png

Step2 创建数据权限项

在【权限项列表】菜单，点击【创建】按钮新增一个名为【宠物达人数据权限项】，同时宠物达人的数据权限设置为只能查看性别为男的记录

配置说明：

  1. 名称： 代表该项配置的权限的名字（必填）（必须是全系统唯一）

  2. 权限模型： 选择需要拦截的数据所在的表，即为模型，可以搜索使用

  3. 描述：对该权限项的描述

  4. 权限条件的配置：

    1. 满足全部：对条件一和条件二要同时满足的数据才能被看见

    2. 满足任一：对条件一和条件二要任意满足的数据都能被看见

  5. 读权限：对该数据是否有读取的权限

  6. 写权限：对该数据是否有修改的权限

  7. 删除权限：对该条件内的数据是否有删除的权限

image.png

Step3 为角色配置权限

  1. 编辑oinone角色，只开通oinoneDemo工程应用

  2. 选中【数据权限】选项卡点击【添加】按钮，勾选宠物达人数据权限项点击【确定】按钮

  3. 整体点击保存，回到列表页记得点击【权限生效】按钮

image.png

image.png

image.png

Step4 新建用户绑定角色

切换到用户中心模块，点击【创建】按钮填写必要信息，并在角色选中oinone权限组。

image.png

退出admin用户，用oinone登陆，权限效果：

  1. 只能看见demo模块

  2. oinone登陆只能看到性别为男的宠物达人记录

image.png

admin用户登陆 oinone用户登陆
admin用户登陆 oinone用户登陆
因为宠物达人的页面没有把性别字段放出来，我们看下数据库数据
数据库数据

auth模块扩展

在日常项目开发中，难免会碰到一些针对权限管理的特殊需求，或是为提升性能做的特殊逻辑。接下来我给大家介绍auth模块扩展性。

权限全局配置

对所有权限角色都做限制，而且不想让用户感知，可以实现PermissionFunApi接口，API接口实现的配置方式【只能用于支持全局的数据权限配置】

  1. 实现接口PermissionFunApi

  2. 将实现托管给SpringAOP

  3. 接口的具体实现看下图的代码

package pro.shushi.pamirs.demo.core.service;

import org.springframework.stereotype.Component;
import pro.shushi.pamirs.auth.api.service.PermissionFunApi;
import pro.shushi.pamirs.demo.api.model.PetTalent;

@Component
public class PetTalentPermissionFunApi implements PermissionFunApi {
    @Override
    public String permissionDomain(Object... args) {
        //获取当前组织中
        return "name == '张学友'";
    }

    @Override
    public String nameSpace() {
        return PetTalent.MODEL_MODEL;
    }
}

image.png

image.png

不参与权限控制

如果某一接口不想做权限控制，则可以在启动工程的application-dev.yml文件中配置不需要权限过滤的接口

pamirs:
  auth:
    fun-filter:
      - namespace: demo.PetTalent
        fun: queryPage

换一个没有配置宠物达人权限的用户（除管理员以外）进入系统，则也可以看到数据。注意【权限全局控制】还是生效的

API

1. 获取当前用户对该模型的行权限

 Result<String> result = CommonApiFactory.getApi(AuthApi.class).canReadAccessData("Model");

返回值为

{
  'data':"name=in=('hahaha')"
  'success'：true
  ...
}

用法 ：

场景：前端发起的请求都会经过权限拦截，后端代码逻辑发起的数据请求都是不经过任何权限的过滤，但是某些特殊情况需要在后端代码逻辑发起的数据请求也带上权限过滤

入参：请求的模型

出参：Result 数据结构中data会存储一段字符串，该字符串为Rsql

将该Rsql追加到wrapper中

Result<String> result =       CommonApiFactory.getApi(AuthApi.class).canReadAccessData("base.UeModule");
String data=result.getData();
QueryWrapper<UeModule> wrapper = Pops.query();
wrapper.setEntity(ueModule);
if (!StringUtils.isBlank(data)) {
    wrapper.apply(data);
}

Oinone社区 作者：史, 昂原创文章，如若转载，请注明出处：https://doc.oinone.top/oio4/9329.html

访问Oinone官网:https://www.oinone.top获取数式Oinone低代码应用平台体验

赞 (1)
史, 昂的头像史, 昂数式管理员
0 0
上一篇 2024年5月23日 am8:09
下一篇 2024年5月23日 am8:11

相关推荐

  • 3.5.3 Action的类型 Oinone 7天入门到精通

    3.5.3 Action的类型

    各类动作我们都碰到过，但都没有展开讲过。这篇文章我们来系统介绍下oinone涉及到的所有Action类型。 一、动作类型 服务器动作ServerAction 类似于Spring MVC的控制器Controller，通过模型编码和动作名称路由，定义存储模型或代理模型将为该模型自动生成动作名称为consturct，queryOne，queryPage，create，update，delete，deleteWithFieldBatch的服务器动作。定义传输模型将为该模型自动生成动作名称为consturct的服务器动作 窗口动作ViewAction 站内跳转，通过模型编码和动作名称路由。系统将为存储模型和代理模型自动生成动作名称为redirectDetailPage的跳转详情页窗口动作，动作名称为redirectListPage的跳转列表页窗口动作，动作名称为redirectCreatePage的跳转新增页窗口动作，动作名称为redirectUpdatePage的跳转更新页窗口动作。 跳转动作UrlAction 外链跳转 客户端动作ClientAction 调用客户端函数 二、默认动作 如果在UI层级，有开放新增语义函数，则会默认生成新增的窗口动作ViewAction，跳转到新增页面 如果在UI层级，有开放更新语义函数，则会默认生成修改的窗口动作ViewAction，跳转到更新页面 如果在UI层级，有开放删除语义函数，则会默认生成删除的客户端动作ClientAction，弹出删除确认对话框 三、第一个服务器动作ServerAction 回顾第一个ServerAction 第一个ServerAction是在3.3.2【模型的类型】一文中的“代理模型”部分出现的，再来看下当时的定义代码 package pro.shushi.pamirs.demo.core.action; ……引用类 @Model.model(PetShopProxy.MODEL_MODEL) @Component public class PetShopProxyAction extends DataStatusBehavior<PetShopProxy> { @Override protected PetShopProxy fetchData(PetShopProxy data) { return data.queryById(); } @Action(displayName = "启用") public PetShopProxy dataStatusEnable(PetShopProxy data){ data = super.dataStatusEnable(data); data.updateById(); return data; } ……其他代码 } 图3-5-3-1 回顾第一个ServerAction @Action注解将创建服务器动作，并@Model.model绑定 自定义ServerAction请勿使用get、set、unset开头命名方法或toString命名方法。 ServerAction之校验(举例) Step1 为动作配置校验表达式 使用@Validation注解为PetShopProxyAction的dataStatusEnable服务端动作进行校验表达式配置 package pro.shushi.pamirs.demo.core.action; ……引用类 @Model.model(PetShopProxy.MODEL_MODEL) @Component public class PetShopProxyAction extends DataStatusBehavior<PetShopProxy> { @Override protected PetShopProxy fetchData(PetShopProxy data) { return data.queryById(); } @Validation(ruleWithTips = { @Validation.Rule(value = "!IS_BLANK(data.code)", error = "编码为必填项"), @Validation.Rule(value = "LEN(data.shopName) < 128", error = "名称过长，不能超过128位"), }) @Action(displayName = "启用") public PetShopProxy dataStatusEnable(PetShopProxy data){ data = super.dataStatusEnable(data); data.updateById(); return data; } ……其他代码 } 图3-5-3-2 为动作配置校验表达式 注： ruleWithTips可以声明多个校验规则及错误提示； IS_BLANK和LEN为内置文本函数，更多内置函数详见4.1.12【函数之内置函数与表达式】一文； 当内置函数不满足时参考4.1.13【Action之校验】一文。 Step2 重启看效果 在商店管理页面点击【启用】得到了预期返回错误信息，显示"编码为必填项" 图3-5-3-3 在商店管理页面点击启用得到了预期返回错误信息 ServerAction之前端展示规则(举例) 既然后端对ServerAction发起提交做了校验，那能不能在前端就不展示呢？当然可以，我们现在就来试下。 Step1 配置PetShopProxyAction的dataStatusEnable的前端出现规则 用注解@Action.Advanced(invisible="!(activeRecord.code !== undefined && !IS_BLANK(activeRecord.code))")来表示，注意这里配对invisible是给前端识别的，所以写法上跟后端的校验有些不一样，但如内置函数IS_BLANK这些是前后端一致实现的，activeRecord在前端用于表示当前记录。 package pro.shushi.pamirs.demo.core.action; ……引用类 @Model.model(PetShopProxy.MODEL_MODEL) @Component public class PetShopProxyAction extends DataStatusBehavior<PetShopProxy> { @Override protected PetShopProxy fetchData(PetShopProxy data) { return data.queryById(); } @Validation(ruleWithTips = { @Validation.Rule(value = "!IS_BLANK(data.code)", error = "编码为必填项"), @Validation.Rule(value = "LEN(data.name) < 128", error = "名称过长，不能超过128位"), }) @Action(displayName = "启用") @Action.Advanced(invisible="!(activeRecord.code !== undefined…

    史, 昂的头像 史, 昂
    2024年5月23日
    1.4K00
  • 页面 Oinone 7天入门到精通

    页面

    1. 页面介绍 页面是增删改查数据的入口，数据信息的填写、查看都需要通过页面来展示、交互。页面设计是界面设计器的功能之一，提供页面搭建功能，以实现数据的录入、查看/查询、搜索等等。 2. 页面列表 进入界面设计器，默认会打开以卡片形式管理页面的列表。 如图，页面卡片上可预览到的信息分别有页面标题、页面缩略图、视图类型、页面对应模型名称、页面描述。 「页面标题、页面描述」作用是通过文字定义页面的名称以及对页面进行详细描述。 「页面缩略图」是自行上传的图片，用于在页面列表通过图片预览当前页面的大致布局样式。若未上传，将显示系统默认的图片，点此查看缩略图上传。 「视图类型」通过业务角度（运营管理、官网门户、商城等，目前提供了运营管理一种业务类型）进行分类。运营管理中包括表单、表格、详情、画廊、树视图。 表单常应用于数据的创建、编辑页； 表格可理解为数据的列表查看页面，除了常规表格外，本版本支持树表、级联高级视图； 详情用于设计数据的详情页； 画廊是以卡片形式呈现内容； 树视图是包括树表、级联高级视图； 表格-树表、树视图-树表两者之间的区别：表格-树表的主模型是表格的模型，树视图-树表的主模型是树表的模型、左侧表格是展开的内容； 3. 添加页面 操作添加页面，首先需要选择添加方式。目前提供了1种添加页面方式：直接创建。 3.1 直接创建 直接创建时，弹框中填写页面的基本信息，填写完成后进入页面设计页。 4. 页面操作 4.1 设计页面 操作设计页面后直接进入该页面的设计页面，可对组件布局、交互、属性进行设置。 4.2 编辑 操作编辑弹出页面的基本信息弹框，可对当前页面的基本信息进行编辑修改。 可修改的基本信息包括页面标题、操作栏位置、页面分组、页面描述。 4.3 查看被引用的信息 4.3.1 什么是引用？ 页面与页面或页面与菜单之间的若存在交互则称为具有引用关系。 举例1：【页面A】中的一个「跳转动作」配置了跳转【页面B】，则称页面B被页面A引用，在页面B下可查看被引用信息。 举例2：比如【菜单1】绑定了【页面C】，则称页面C被菜单1引用，在页面C下可查看被引用信息。 4.3.2 查看的引用信息是什么？ 引用信息分别有“存在引用关系的视图”、“存在引用关系的菜单”。页面下操作查看被引用信息，是查看当前页面被引用情况，如上述举例1，页面B被引用，而页面A非被引用，所以只可以在页面B下查看到“存在引用关系的视图”。 4.4 隐藏/可见 对于暂时不使用的页面，可以进行隐藏（隐藏后可再设置可见）的操作。 4.4.1 隐藏/可见会有哪些影响？ 隐藏后该页面在跳转动作选择页面和菜单绑定页面时，不可见，已被使用的不受影响。再次操作可见后，即可选择到。 4.4.2 隐藏后的页面找不到了？ 若需要对隐藏的页面进行操作，但是在列表未查找到某个隐藏的页面，请切换「是否可见」筛选项，页面列表默认展示所有“可见”的页面，切换为“全部”或“隐藏”，即可找到隐藏的页面。 4.5 删除 对于不再使用且没有被引用信息的页面，可以将页面删除。页面删除后无法恢复，请谨慎操作，对于不确定是否要彻底删除的页面，建议先操作隐藏。 删除前请确保当前页面没有引用关系！ 5. 页面搜索 卡片上方是页面筛选和搜索区域，可通过应用、模型、业务类型、视图类型、自定义/系统、可见/隐藏等等筛选页面；搜索时仅支持使用页面名称进行搜索。同时筛选条件也具备记忆功能，即上一次在页面列表的筛选条件是哪些，再次进入页面列表，筛选条件默认为上次的条件。 其中自定义页面是所有人工添加的页面，系统页面为非人工添加的页面，由系统默认生成，只可用于查看，不可编辑、删除或设计。 6. 页面分组管理 6.1 页面分组 当页面过多时，可以自定义添加15个分组，将页面进行归类管理。默认展示全部分组，点击「全部」展开所有分组，点击分组进行分组下的页面查看或管理分组。 6.2 管理分组 展开分组后，点击「管理分组」，出现弹框，在弹框中可以修改分组名称、添加分组、删除分组。 6.2.1 添加分组 操作「+页面分组」，可以直接输入分组名称后回车以添加一个新分组，或快捷选择其他应用使用的分组。最多添加15个分组。 6.2.2 修改分组 双击分组标签，即可对已有分组进行名称的修改。若分组在其他应用也使用，则在其他应用内，该分组名称同步变化。 6.2.3 删除分组 若分组下有页面或分组有被其他应用使用，则分组无法删除。

    史, 昂的头像 史, 昂
    2024年6月20日
    1.3K00
  • 4.1.6 模型之元数据详解 Oinone 7天入门到精通

    4.1.6 模型之元数据详解

    介绍Model相关元数据，以及对应代码注解方式。大家还是可以通读并练习每种不同的使用方式，这个是oinone的设计精华所在。当您不知道如何配置模型、字段、模型间的关系、以及枚举都可以到这里找到。 一、模型元数据 安装与更新 使用@Model.model来配置模型的不可变更编码。模型一旦安装，无法在对该模型编码值进行修改，之后的模型配置更新会依据该编码进行查找并更新；如果仍然修改该注解的配置值，则系统会将该模型识别为新模型，存储模型会创建新的数据库表，而原表将会rename为废弃表。 如果模型配置了@Base注解，表明在studio中该模型配置不可变更；如果字段配置了@Base注解，表明在studio中该字段配置不可变更。 注解配置 模型类必需使用@Model注解来标识当前类为模型类。 可以使用@Model.model、@Fun注解模型的模型编码（也表示命名空间），先取@Model.model注解值，若为空则取@Fun注解值，若皆为空则取全限定类名。 模型元信息 模型的priority，当展示模型定义列表时，使用priority配置来对模型进行排序。 模型的ordering，使用ordering属性来配置该模型的数据列表的默认排序。 模型元信息继承形式： 不继承（N） 同编码以子模型为准（C） 同编码以父模型为准（P） 父子需保持一致，子模型可缺省（P=C） 注意：模型上配置的索引和唯一索引不会继承，所以需要在子模型重新定义。数据表的表名、表备注和表编码最终以父模型配置为准；扩展继承父子模型字段编码一致时，数据表字段定义以父模型配置为准。 名称 描述 抽象继承 同表继承 代理继承 多表继承 基本信息 displayName 显示名称 N N N N summary 描述摘要 N N N N label 数据标题 N N N N check 模型校验方法 N N N N rule 模型校验表达式 N N N N 模型编码 model 模型编码 N N N N 高级特性 name 技术名称 N N N N table 逻辑数据表名 N P=C P=C N type 模型类型 N N N N chain 是否是链式模型 N N N N index 索引 N N N N unique 唯一索引 N N N N managed 需要数据管理器 N N N N priority 优先级，默认100 N N N N ordering 模型查询数据排序 N N N N relationship 是否是多对多关系模型 N N N N inherited 多重继承 N N N N unInheritedFields 不从父类继承的字段 N N N N unInheritedFunctions 不从父类继承的函数 N N N N 高级特性-数据源 dsKey 数据源 N P=C P=C N 高级特性-持久化 logicDelete 是否逻辑删除 P P P N logicDeleteColumn 逻辑删除字段 P P P N logicDeleteValue 逻辑删除状态值 P P P N logicNotDeleteValue 非逻辑删除状态值 P P P N underCamel 字段是否驼峰下划线映射 P P P N capitalMode 字段是否大小写映射…

    史, 昂的头像 史, 昂
    2024年5月23日
    1.4K00

  • 高级视图

    史, 昂的头像 史, 昂
    Oinone 7天入门到精通 2024年6月20日
    1.4K00
  • 合作伙伴中心 Oinone 7天入门到精通

    合作伙伴中心

    合作伙伴中心包含“公司、个人、部门、岗位、员工”五个菜单。其中公司、个人为合作伙伴，是创建组织架构的前置条件；部门、岗位、员工为组织架构，是选择的公司下的内部架构。 合作伙伴 公司页面中包含常规的增删改查和查看详情。 公司的创建页面如下： 个人暂不支持创建。 组织架构 同样菜单中包含常规的增删改查和查看详情。 组织架构可以依次创建部门、岗位、员工。对应关系为，一个部门下有多个岗位，一个员工可以归属于多个部门和多个岗位。 部门创建页面如下： 岗位创建页面如下： 员工创建页面如下： 合作伙伴中心创建的员工会自动生成可登录的用户并进行绑定。 在用户中心创建的用户仅为可登录用户无法操作管理员工、关联部门。 流程设计器中可选到的操作人分类为“员工、部门、角色”。

    史, 昂的头像 史, 昂
    2024年6月20日
    1.1K00

Leave a Reply

登录后才能评论