Go中最强大的权限控制库(Casbin)的实现

[request_definition]
# 定义请求的格式：r = [主体(sub), 客体(obj), 动作(act)]
# sub：用户/角色；obj：资源；act：操作（如 read、write）
r = sub, obj, act
[policy_definition]
# 定义策略的格式：p = [主体(sub), 客体(obj), 动作(act)]
p = sub, obj, act
[policy_effect]
# 定义策略效果：e = some(where (p.eft == allow))
# 意思是：只要有一条策略匹配且效果为 allow，就允许访问
e = some(where (p.eft == allow))
[matchers]
# 定义匹配规则：m = r.sub == p.sub && r.obj == p.obj && r.act == p.act
# 意思是：请求的 sub、obj、act 必须和策略完全一致才匹配
m = r.sub == p.sub && r.obj == p.obj && r.act == p.act

# p, 主体, 客体, 动作
p, zhangsan, /api/user, read
p, zhangsan, /api/user, write
p, lisi, /api/article, read

// 参数 1：Model 文件路径
// 参数 2：Policy 文件路径
e, err := casbin.NewEnforcer("./model.conf", "./policy.csv")
if err != nil {
        fmt.Printf("初始化 Enforcer 失败：%v\n", err)
        return
}

// 参数顺序：sub, obj, act（和 Model 中 r 的定义一致）
// 场景 1：zhangsan 读取 /api/user
ok, err := e.Enforce("zhangsan", "/api/user", "read")
if err != nil {
        fmt.Printf("权限判断失败：%v\n", err)
        return
}
if ok {
        fmt.Println("zhangsan 允许读取 /api/user")
} else {
        fmt.Println("zhangsan 不允许读取 /api/user")
}
// 场景 2：lisi 写入 /api/article（策略中没有这条，应该拒绝）
ok, _ = e.Enforce("lisi", "/api/article", "write")
if ok {
        fmt.Println("lisi 允许写入 /api/article")
} else {
        fmt.Println("lisi 不允许写入 /api/article")
}

[request_definition]
r = sub, obj, act
[policy_definition]
p = sub, obj, act
[role_definition]
# 定义角色关系：g = [用户, 角色]
# 表示“用户属于某个角色”
g = _, _
[policy_effect]
e = some(where (p.eft == allow))
[matchers]
# 匹配规则：g(r.sub, p.sub) 表示“请求的用户属于策略中的角色”
# 或者请求的用户直接等于策略中的主体（支持用户直接分配权限）
m = g(r.sub, p.sub) && r.obj == p.obj && r.act == p.act

# 1. 角色权限策略：p, 角色, 资源, 动作
p, admin, /api/user, read
p, admin, /api/user, write
p, admin, /api/article, read
p, admin, /api/article, write
p, editor, /api/article, read
p, editor, /api/article, write
p, viewer, /api/article, read
# 2. 用户角色策略：g, 用户, 角色
g, zhangsan, admin
g, lisi, editor
g, wangwu, viewer

// 给 wangwu 添加 editor 角色（现在 wangwu 是 viewer + editor）
added, err := e.AddRoleForUser("wangwu", "editor")
if added {
        // 保存策略到文件（生产环境用数据库适配器自动保存）
        e.SavePolicy()
}
// 现在 wangwu 应该允许写入 /api/article 了
ok, _ = e.Enforce("wangwu", "/api/article", "write")
// 删除 wangwu 的 viewer 角色
removed, err := e.DeleteRoleForUser("wangwu", "viewer")
if removed {
        e.SavePolicy()
}

// 给 editor 角色添加 /api/user 的 read 权限
added, err = e.AddPolicy("editor", "/api/user", "read")
if added {
        e.SavePolicy()
}
// 现在 lisi（editor）应该允许读取 /api/user 了
ok, _ = e.Enforce("lisi", "/api/user", "read")

[request_definition]
r = sub, dom, obj, act
[policy_definition]
p = sub, dom, obj, act
[role_definition]
g = _, _, _
[policy_effect]
e = some(where (p.eft == allow))
[matchers]
m = g(r.sub, r.dom, p.sub, p.dom) && r.dom == p.dom && r.obj == p.obj && r.act == p.act

// 权限判断：sub, dom, obj, act
e.Enforce("zhangsan", "tenant1", "/api/user", "read")
// 给用户添加租户下的角色
e.AddRoleForUserInDomain("zhangsan", "admin", "tenant1")

// 1. 连接 MySQL 数据库
dsn := "root:your_password@tcp(127.0.0.1:3306)/casbin_demo?charset=utf8mb4&parseTime=True&loc=Local"
db, err := gorm.Open(mysql.Open(dsn), &gorm.Config{})
// 2. 初始化 GORM Adapter
// 参数 1：GORM DB 实例
// 参数 2：是否自动迁移（创建 casbin_rule 表）
a, err := gormadapter.NewAdapterByDB(db)
// 3. 初始化 Enforcer：加载 Model 文件和数据库 Adapter
e, err := casbin.NewEnforcer("./rbac_model.conf", a)
// 4. 初始化策略（仅第一次运行时执行，后续可注释）
// 添加角色权限
e.AddPolicy("admin", "/api/user", "read")
e.AddPolicy("admin", "/api/user", "write")
// 添加用户角色
e.AddRoleForUser("zhangsan", "admin")
// 保存策略到数据库
e.SavePolicy()
// 5. 权限判断
ok, _ := e.Enforce("zhangsan", "/api/user", "write")
// 6. 动态修改策略（自动同步到数据库）
e.AddRoleForUser("wangwu", "editor")
ok, _ = e.Enforce("wangwu", "/api/article", "write")