Go x gin x gormなWebアプリでロールベースのアクセス制御を実装する

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14

[request_definition]
r = sub, obj, act

[policy_definition]
p = sub, obj, act

[role_definition]
g = _, _

[policy_effect]
e = some(where (p.eft == allow))

[matchers]
m = g(r.sub, p.sub) && r.obj == p.obj && r.act == p.act

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22

// gormアダプターの初期化
adapter, err := gormadapter.NewAdapterByDB(db)
if err != nil {
    panic(fmt.Sprintf("failed to initialize casbin adapter: %v", err))
}

// 設定ファイルの読み込み
enforcer, err := casbin.NewEnforcer("config/rbac_model.conf", adapter)
if err != nil {
    panic(fmt.Sprintf("failed to create casbin enforcer: %v", err))
}

//ポリシーの作成
if hasPolicy := enforcer.HasPolicy("anonymous", "board", "read"); !hasPolicy {
    enforcer.AddPolicy("anonymous", "board", "read")
}
if hasPolicy := enforcer.HasPolicy("member", "board", "write"); !hasPolicy {
    enforcer.AddPolicy("member", "board", "write")
}
if hasPolicy := enforcer.HasPolicy("admin", "board", "write"); !hasPolicy {
    enforcer.AddPolicy("admin", "board", "write")
}

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32

// obj -> 上記例の掲示板のポリシー設定においての「board」
// act -> 上記例の掲示板のポリシー設定においての「read」や「write」
func Authorize(obj string, act string, enforcer *casbin.Enforcer) gin.HandlerFunc {
    return func(c *gin.Context) {
    // 現在のログインユーザを取得
    sub, existed := c.Get("userID")
    if !existed {
        c.AbortWithStatusJSON(401, gin.H{"msg": "ログインしてください。"})
        return
    }

    // DBからポリシーの取得
    err := enforcer.LoadPolicy()
    if err != nil {
        c.AbortWithStatusJSON(500, gin.H{"msg": "ポリシーの取得に失敗しました。"})
        return
    }

    // 権限チェック
    ok, err := enforcer.Enforce(fmt.Sprint(sub), obj, act)
    if err != nil {
        c.AbortWithStatusJSON(500, gin.H{"msg": "エラー"})
        return
    }

    if !ok {
        c.AbortWithStatusJSON(403, gin.H{"msg": "権限がありません。"})
        return
    }
		c.Next()
}
}

1
2

// メンバー権限を付与
enforcer.AddGroupingPolicy(fmt.Sprint(user.ID), "member")

1
2
3

if enforcer.HasNamedGroupingPolicy("g", fmt.Sprint(loginUserId), "admin") {
    // admin権限のユーザにのみ可能な処理
}