多租户应用中的授权

Question

在 Railscasts Episode 388 - Multitenancy with Scopes 中，Ryan 正在添加默认范围以确保安全：

或者，我们可以使用 CanCan 等授权库来处理范围，但这不是为多租户应用程序设计的，它不能很好地解决这个问题。这是可以使用默认范围的一种情况，这就是我们要做的。

class Tenant < ActiveRecord::Base
  attr_accessible :name, :subdomain
  has_many :topics
end

class Topic < ActiveRecord::Base
  attr_accessible :name, :content
  belongs_to :user
  has_many :posts

  default_scope { where(tenant_id: Tenant.current_id) }
end

我的问题是：我想实现授权（例如使用 Cancan）并希望定义如下能力：

class Ability
  include CanCan::Ability

  def initialize(user)
    user ||= User.new # guest user (not logged in)
    if user.admin?
      can :manage, Topic
    else
      can :read, Topic
    end
  end
end

用户是否有能力管理所有租户的主题或仅在租户范围内？

或者更一般的问题：多租户应用程序的正确授权方法是什么？

Answer 1

我认为使用 CanCan 或 CanCanCan 是正确的，因为 CanCan 已被弃用。

我不喜欢default_scope，因为它不是threadsafe。用户 id 存储在一个类变量中，这意味着您的应用程序中的两个或多个并发用户将破坏这一点，除非您使用 Unicorn 或其他确保不超过一个客户端连接访问同一线程的 Web 服务器.

因此你应该使用像 Cancan 这样的东西。

class Ability
  include CanCan::Ability

  def initialize(user)
    user ||= User.new # guest user (not logged in)
    if user.admin?
      # User's own Topics only:
      can :manage, Topic, user_id: user.id
      # or, with a Tenant
      can :manage, Topic, tenant_id: user.tenant.id if user.tenant # User belongs_to Tenant
      can :manage, Topic, tenant_id: user.tenants.map(&:id) if user.tenants.any? # User has_many Tenants
    else
      can :read, Topic # Anyone can read any topic.
    end
  end
end

从以上三个示例中选择您需要的策略。

---

编辑在 cmets 中针对 @JoshDoody 的问题的多租户管理员的稍微复杂的示例：

---

class Admin < User; end

class TenantAdmin
  belongs_to :tenant
  belongs_to :admin, class_name: User
end

class Ability
  include CanCan::Ability

  def initialize(user)
    user ||= User.new # guest user (not logged in)
    if user.admin?
      can :manage, Topic, tenant_id: TenantAdmin.where(admin: user).map(&:tenant_id)
    else
      can :read, Topic # Anyone can read any topic
    end
  end
end

现在，这可能不是您想要的性能，但总体思路是您的租户管理员将能够管理其租户中的主题。

希望这会有所帮助。

Answer 2

你已经为主题设置了能力。因此，它只会检查主题对象。

要检查租户级别，您需要设置如下内容：

class Ability
  include CanCan::Ability

  def initialize(user)
    user ||= User.new # guest user (not logged in)
    can :manage, Tenant do |tenant|
      if user.admin?
        `you code goes here`
      else
      end
    end
    can :read, Tenant
    can :read, Topic
  end
end

Answer 3

Му 多租户应用能力示例

class Ability
  def initialize(admin,  tenant = nil)
     user ||= User.new
     if user.admin?
       can :manage, Topic
     else
       can :manage, PostState, tenant: tenant
     end
  end
end

您不能通过租户并使用Tenant.current_id