03-authorization-service

3. 架构之:权限系统的基本概念和架构

权限系统是我们在系统设计和应用中一种非常常见的系统。一般来说权限系统的功能分为认证和授权两种。认证就非常简单的，验证完用户名密码就算认证成功，而授权里面的套路就很多了，本文将会详细讲解权限系统中的一些基本概念和设计上面要注意的问题，希望大家能够喜欢。

在授权流程中主要有三个部分，分别是资源管理，权限和策略管理，策略的执行。

先看下资源管理：

首先我们需要创建一个资源服务器，然后在资源服务器中创建各种资源，最后对各种资源设置一些scope,scope就是跟资源相关的的一些可执行的操作。

什么是资源呢？资源可以是一个web页面，一个RESTful资源，一个文件等等。

举个例子，假如我们有一个图书馆资源服务器，图书馆有一个本《人月神话》的书，那么这本书就被称作资源。接下来我们需要为这个资源定义一些可操作性的scope，或者说策略。比如说只有本校的学生才能够借阅这本书。

当我们定义好资源之后，就需要对这些资源进行一些权限和策略的设置，这就需要进行权限和策略管理。

看下权限和策略管理的流程：

首先是创建策略，然后定义权限，最后将权限和策略进行关联。

策略就是定义的一些去访问某些资源或者权限的操作，策略是和具体的权限是分离的，策略只制定了在什么情况下可以做（某些事情），或者在某些情况下不能做（某些事情），这些事情就是后面创建的权限。

比如说，拥有user角色可以做什么事情，就是一种策略。

策略定义好了，我们就可以创建权限了，权限很好理解，比如：借《人月神话》的书的权限。

我们把策略和权限组合起来就是：拥有user角色的，可以借《人月神话》这本书。

通用的策略有很多种，比如说基于属性的访问策略，基于角色的访问策略，基于用户的访问策略，基于上下文的访问策略，基于时间的访问策略，基于规则的访问策略或者其他的自定义策略等。

通常来说，基于角色的访问策略role-based access control (RBAC)是最常用的。

我们把用户赋予相应的角色，然后在访问资源的时候根据不同的角色策略来执行不同的permission操作。

虽然RBAC非常有用，用途也非常广泛，但是它还是有下面的几个缺点：

最后，我们看一下策略的执行。

策略的执行就是真正的在资源服务器上执行相应的授权工作。一般来说我们在资源服务器中有一个 Policy Enforcement Point （PEP）来和授权服务器进行交互，根据授权服务器返回的授权信息来执行相应的资源操作。

先看一张权限系统的基本架构图：

其中有下面几个关键组件：

PAP全称是Policy Administration Point，它是一个权限管理的后台页面，我们需要这样的一个后台界面来配置和管理权限和资源。
PDP全称是Policy Decision Point，它提供了一些决策策略，通过这些策略将授权请求发送到相应的位置，并根据请求的权限对策略进行相应的决策。
PEP全称是Policy Enforcement Point，在不同的资源服务器中执行相应的策略。
PIP全称是Policy Information Point，在判断和决策策略的时候，可以从中获取相应的属性信息。