扫描二维码

关注或者微信搜一搜：编程智域前端至全栈交流与成长

发现1000+提升效率与开发的AI工具和实用程序：https://tools.cmdragon.cn/

第四章：访问控制体系

1. RBAC 权限模型设计

1.1 核心组件关系

flowchart TD
A[用户请求访问] --> B{是否认证用户}
B -- 是 --> C{用户拥有角色吗}
B -- 否 --> D[拒绝访问]
C -- 是 --> E{角色拥有权限吗}
C -- 否 --> D
E -- 是 --> F[允许访问]
E -- 否 --> D

subgraph 用户
A --> B
end

subgraph 角色
C --> E
end

subgraph 权限
E --> F
end

graph TD
User -->|属于| Role
Role -->|包含| Permission
Permission -->|对应| APIEndpoint

1.2 数据模型实现

from sqlalchemy import Column, Integer, String, Table, ForeignKey

from sqlalchemy.orm import relationship

from pydantic import BaseModel

# 数据库模型

class User(Base):

    __tablename__ = 'users'

    id = Column(Integer, primary_key=True)

    roles = relationship('Role', secondary='user_roles')

class Role(Base):

    __tablename__ = 'roles'

    id = Column(Integer, primary_key=True)

    permissions = relationship('Permission', secondary='role_permissions')

class Permission(Base):

    __tablename__ = 'permissions'

    id = Column(Integer, primary_key=True)

    endpoint = Column(String(50), unique=True)

# 中间关联表

user_roles = Table('user_roles', Base.metadata,

                   Column('user_id', ForeignKey('users.id')),

                   Column('role_id', ForeignKey('roles.id')))

role_permissions = Table('role_permissions', Base.metadata,

                         Column('role_id', ForeignKey('roles.id')),

                         Column('permission_id', ForeignKey('permissions.id')))

1.3 权限校验流程

graph TD
A[开始] --> B{用户是否已登录?}
B -->|否| C[提示用户登录]
B -->|是| D{用户角色是否被允许访问?}
D -->|否| E[访问被拒绝，提示权限不足]
D -->|是| F{请求的资源是否需要特殊权限?}
F -->|否| G[访问被允许，加载资源]
F -->|是| H{用户是否具有特殊权限?}
H -->|否| E
H -->|是| G
G --> I[结束]

2. 声明式权限验证中间件

2.1 中间件核心逻辑

from fastapi import Depends, HTTPException

from fastapi.security import OAuth2PasswordBearer

oauth2_scheme = OAuth2PasswordBearer(tokenUrl="token")

async def check_permission(

        required_permission: str,

        token: str = Depends(oauth2_scheme)

):

    user = await authenticate_user(token)

    if not any(perm.endpoint == required_permission

               for role in user.roles

               for perm in role.permissions):

        raise HTTPException(status_code=403, detail="Forbidden")

    return user

# 路由使用示例

@app.get("/admin/dashboard")

async def admin_dashboard(user: User = Depends(check_permission("admin_dashboard"))):

    return {"message": "Welcome Admin"}

2.2 动态权限注入

from fastapi import APIRouter

def create_router_with_permissions(endpoint: str, permission: str):

    router = APIRouter()

    @router.get(f"/{endpoint}")

    async def endpoint_handler(user: User = Depends(check_permission(permission))):

        # 业务逻辑

        return {"data": "secured"}

    return router

3. 敏感操作审计日志

3.1 日志记录中间件

from fastapi import Request

import datetime

@app.middleware("http")

async def audit_logger(request: Request, call_next):

    start_time = datetime.datetime.now()

    response = await call_next(request)

    process_time = (datetime.datetime.now() - start_time).total_seconds()

    audit_log = {

        "user": request.state.user.id if hasattr(request.state, 'user') else None,

        "endpoint": request.url.path,

        "method": request.method,

        "status_code": response.status_code,

        "timestamp": datetime.datetime.now().isoformat(),

        "processing_time": process_time

    }

    # 异步写入数据库

    await save_audit_log(audit_log)

    return response

课后Quiz

当用户访问需要admin权限的接口时返回403错误，可能的原因是？

A) JWT令牌过期

B) 用户未分配对应角色

C) 路由路径错误

D) 数据库连接超时

答案：B

解析：403状态码表示权限不足。当用户角色未绑定对应接口权限时，系统会阻止访问，需要检查角色权限配置。

常见报错处理

报错：JWTDecodeError

原因：令牌格式错误或签名不匹配

解决方案：

检查令牌是否包含Bearer前缀
验证签名密钥是否一致
确保令牌未过期

报错：AttributeError: 'NoneType' has no attribute 'roles'

原因：未正确处理匿名用户访问

修复方案：

# 在权限检查函数中添加空值处理

if not user:

    raise HTTPException(status_code=401, detail="Unauthorized")

运行环境要求

fastapi==0.68.0

python-jose[cryptography]==3.3.0

sqlalchemy==1.4.36

uvicorn==0.15.0

部署建议：使用uvicorn启动服务时开启SSL加密：

uvicorn main:app --ssl-keyfile=./key.pem --ssl-certfile=./cert.pem

余下文章内容请点击跳转至个人博客页面或者扫码关注或者微信搜一搜：编程智域前端至全栈交流与成长

，阅读完整的文章：RBAC权限模型如何让API访问控制既安全又灵活？

往期文章归档：

免费好用的热门在线工具

RBAC权限模型如何让API访问控制既安全又灵活？的更多相关文章

基于角色访问控制RBAC权限模型的动态资源访问权限管理实现
RBAC权限模型(Role-Based Access Control) 前面主要介绍了元数据管理和业务数据的处理,通常一个系统都会有多个用户,不同用户具有不同的权限,本文主要介绍基于RBAC动态权限管 ...
RBAC权限模型——项目实战(转)
一.前言权限一句话来理解就是对资源的控制,对web应用来说就是对url的控制,关于权限可以毫不客气的说几乎每个系统都会包含,只不过不同系统关于权限的应用复杂程序不一样而已,现在我们在用的权限模型基本 ...
（转）RBAC权限模型——项目实战
一.前言权限一句话来理解就是对资源的控制,对web应用来说就是对url的控制,关于权限可以毫不客气的说几乎每个系统都会包含,只不过不同系统关于权限的应用复杂程序不一样而已,现在我们在用的权限模型基本 ...
RBAC权限模型及数据权限扩展的实践
话说大家对RBAC权限模型应该是耳熟能详了.但真正用的好的并不多.并且原始的RBAC模型并不包括数据权限的管理,网上也差点儿没有相关的文章可以參考.本人经过几个项目的实战,在其基础上扩展出一套可行的. ...
RBAC权限模型——项目实战
RBAC权限模型——项目实战
[七年技术总结系列][理论篇]-RBAC权限模型由浅入深
权限部分将分两章介绍,第一章由浅入深介绍权限理论知识及应用,第二章介绍具体实现.后期再讲述中间件的使用时,还会插入一些权限内容,本质上属于中间件的应用. 权限模块是业务系统最常见.最基本的子集.本章假 ...
JWT与RBAC权限模型
JWT JWT是什么? Json web token (JWT)是为了网络应用环境间传递声明而执行的一种基于JSON的开发标准(RFC7519),该token被设计为紧凑且安全的,特别适用于分布式站点 ...
RBAC 权限模型
RBAC 0 模型最基本的 MySQL 脚本,没有建立外键约束. /* Navicat Premium Data Transfer Source Server Type : MySQL Source ...
权限管理系统（四）：RBAC权限模型分类介绍
RBAC是Role-BasedAccess Control的英文缩写,意思是基于角色的访问控制.RBAC认为权限授权实际上是Who.What.How的问题.在RBAC模型中,who.what.how构 ...
PHP RBAC权限管理基于角色的访问控制演示
RBAC rbac:Role Based Access Controll,基于角色的访问控制. 今天理一理RBAC,话不多说,直接切入主题功能需求: 权限管理(无限极) 角色管理(可以分配权限) 管 ...

随机推荐

java的反射是要先实例化的！
java两种获得反射的方法 ,一种是Class.forName("A"); 另一种是 A a = new A(); a.getClass(); 第二种是自己实例化之后,我们在类的静 ...
JMeter+Grafana+Influxdb可视化性能监控平台搭建总结
说明:此次搭建基于unbuntu16.04系统搭建 1.安装docker 打开终端依次输入如下命令: 卸载旧版本 sudo apt-get remove docker docker-engine do ...
Postman接口关联总结
1.新建集合打开postman,点击Collections->New Collection,页面如下: 2.新建请求下面以获取绑定信息接口为例接口说明: C{获取绑定信息接口} 接口地址: ...
cesium czml更新dataSource
cesium czml更新dataSource:沙盒
微信小程序 6/12 的坑
配置小程序的时候配置请求的是 https://xxx 不是http://xxx 前端请求的链接都是https
STM32F407——使用systick定时器裸机制作延时函数
准备工作: 软件:keil5 硬件:STM32F407ZET6芯片,gec6818开发板,st-link调试器文档:<开发板原理图>,<Cortex M3与M4权威指南>,& ...
【HUST】网安｜编译原理实验｜实验四攻略
[实验代码及报告地址:Gitee传送门](已关闭传送大门,原因是抄袭过多,如需参考,请直接看博客,虽然下一届内容会变了) 不擅长写报告昂,很多地方能省全省了. 助力来年编译原理加大难度!(hhh) M ...
HarmonyOS Next开发教程之地图定位
今天分享一下在鸿蒙开发中的地图定位问题,也就是在地图中如何定位自己所在的位置. 关于如何加载显示地图在之前的文章已经详细介绍过,有问题的友友可以点击查看: HarmonyOS NEXT实战教程-实现K ...
仿EXCEL插件，智表ZCELL产品V3.0 版本发布，底层采用canvas全部重构，功能大幅扩展，性能极致提升，满足千万级单元格加载
本次更新是底层全部重构,按照现代浏览器要求,采用canvas方式进行了重构,预留了将来扩展空间,特别是在大数据量性能提升方面有了较大提升,可以满足千万级单元格加载,欢迎大家体验使用. 体验地址:zce ...

RBAC权限模型如何让API访问控制既安全又灵活？