YII2 rbac 的核心组件包括：1. 角色（roles），代表用户身份，可形成继承关系；2. 权限（permissions），表示用户可执行的操作，支持继承；3. 规则（rules），自定义 php 类，用于实现基于业务逻辑的动态访问控制；4. 授权管理器（authmanager），负责管理角色、权限和规则，提供 phpauthmanager 和 dbauthmanager 两种实现；5. 访问控制过滤器（access control Filter），作为行为附加到控制器，用于在动作执行前进行权限检查。这些组件共同协作，实现灵活、安全的权限管理系统，通过配置和使用可完成从角色分配到细粒度访问控制的完整流程，且支持数据库存储与动态权限判断，最终确保用户只能访问被授权的资源，系统具备良好的可维护性和扩展性。
Yii 框架的角色管理，简单来说，就是通过一套规则来控制用户可以访问哪些资源，能做什么操作。RBAC（Role-Based Access Control，基于角色的访问控制）是实现这种控制的一种常见方法，Yii 框架也提供了相应的支持。
RBAC在Yii框架中，主要通过定义角色、权限和规则来实现。角色代表用户的身份，权限代表用户可以执行的操作，规则则是一些自定义的逻辑，用于更细粒度地控制访问。
Yii2 RBAC的核心组件是什么？
Yii2 RBAC 的核心组件主要包括以下几个方面，它们共同协作来实现灵活的角色管理：
- 角色 (Roles): 角色代表用户的身份或职位。例如，管理员、编辑、访客等。角色可以继承其他角色，形成角色层级结构。
- 权限 (Permissions): 权限代表用户可以执行的操作。例如，创建文章、编辑文章、删除文章等。权限也可以继承其他权限。
- 规则 (Rules): 规则是一些自定义的 PHP 类，用于更细粒度地控制访问。例如，只有文章的作者才能编辑该文章。规则可以关联到角色或权限。
- 授权管理器 (AuthManager): 授权管理器是 RBAC 的核心组件，负责管理角色、权限和规则，并进行访问控制检查。Yii2 提供了两种授权管理器：
PhpAuthManager
和
DbAuthManager
。
PhpAuthManager
将 RBAC 数据存储在 PHP 文件中，适用于简单的应用。
DbAuthManager
将 RBAC 数据存储在数据库中，适用于复杂的应用。
- 访问控制过滤器 (Access Control Filter): 访问控制过滤器是一个行为 (Behavior)，可以附加到控制器 (Controller) 上，用于在控制器动作 (Action) 执行之前进行访问控制检查。
使用这些组件，开发者可以构建强大的权限管理系统，控制用户对应用程序的访问。比如，可以定义一个 “administrator” 角色，拥有所有权限，然后将该角色分配给特定的用户。也可以定义一些细粒度的权限，例如 “createPost”、”updatePost”、”deletePost”，然后将这些权限分配给不同的角色。
如何在Yii2中配置和使用RBAC？
配置和使用 Yii2 的 RBAC 需要几个步骤，这里以使用
DbAuthManager
为例，因为它更适合复杂的应用：
-
配置
DbAuthManager
: 首先，需要在应用的配置文件中配置
authManager
组件。例如，在
config/web.php
中：
'components' => [ 'authManager' => [ 'class' => 'yiirbacDbAuthManager', ], // ... ],
确保数据库配置正确，因为
DbAuthManager
会将 RBAC 数据存储在数据库中。
-
创建 RBAC 表:
DbAuthManager
需要一些数据库表来存储角色、权限和规则。Yii 提供了迁移 (Migration) 来创建这些表。执行以下命令：
yii migrate --migrationPath=@yii/rbac/migrations
这将创建
auth_rule
,
auth_item
,
auth_item_child
, 和
auth_assignment
表。
-
创建角色、权限和规则: 可以通过命令行或编写代码来创建角色、权限和规则。这里演示通过代码创建：
$auth = Yii::$app->authManager; // 创建 "createPost" 权限 $createPost = $auth->createPermission('createPost'); $createPost->description = 'Create a post'; $auth->add($createPost); // 创建 "updatePost" 权限 $updatePost = $auth->createPermission('updatePost'); $updatePost->description = 'Update a post'; $auth->add($updatePost); // 创建 "author" 角色，并赋予 "createPost" 权限 $author = $auth->createRole('author'); $auth->add($author); $auth->addChild($author, $createPost); // 创建 "admin" 角色，并赋予 "updatePost" 权限 $admin = $auth->createRole('admin'); $auth->add($admin); $auth->addChild($admin, $updatePost); $auth->addChild($admin, $author); // admin 继承 author 的权限 // 创建规则，例如：只有文章的作者才能更新文章 $rule = new apprbacAuthorRule; $auth->add($rule); $updateOwnPost = $auth->createPermission('updateOwnPost'); $updateOwnPost->description = 'Update own post'; $updateOwnPost->ruleName = $rule->name; $auth->add($updateOwnPost); $auth->addChild($updateOwnPost, $updatePost); $auth->addChild($author, $updateOwnPost); // 将角色分配给用户 $auth->assign($author, 123); // 将 "author" 角色分配给用户 ID 为 123 的用户 $auth->assign($admin, 456); // 将 "admin" 角色分配给用户 ID 为 456 的用户注意
apprbacAuthorRule
是一个自定义的规则类，需要自己实现。
-
实现自定义规则 (如果需要): 如果需要自定义规则，需要创建一个类，继承
yiirbacRule
，并实现
execute()
方法。例如：
namespace apprbac; use yiirbacRule; use appmodelsPost; class AuthorRule extends Rule { public $name = 'isAuthor'; public function execute($user, $item, $params) { if (isset($params['post'])) { $post = $params['post']; return $post->createdBy == $user; } return false; } } -
进行访问控制检查: 在控制器或视图中，可以使用
Yii::$app->user->can()
方法来检查用户是否具有某个权限。例如：
if (Yii::$app->user->can('createPost')) { // 用户可以创建文章 } if (Yii::$app->user->can('updateOwnPost', ['post' => $post])) { // 用户可以更新自己的文章 } -
使用 Access Control Filter: 可以在控制器中使用 Access Control Filter 来进行访问控制。例如：
use yiifiltersAccessControl; public function behaviors() { return [ 'access' => [ 'class' => AccessControl::class, 'rules' => [ [ 'actions' => ['create'], 'allow' => true, 'roles' => ['createPost'], ], [ 'actions' => ['update'], 'allow' => true, 'roles' => ['updateOwnPost'], 'roleParams' => function() { return ['post' => $this->findModel(Yii::$app->request->get('id'))]; } ], [ 'allow' => false, ], ], ], ]; }这段代码配置了 Access Control Filter，允许拥有
createPost
权限的用户访问
create
动作，允许拥有
updateOwnPost
权限的用户访问
update
动作，并且传递了
$post
对象给规则进行检查。
Yii2 RBAC 中的规则有什么作用？
规则在 Yii2 RBAC 中扮演着精细化权限控制的角色。它们允许你基于应用程序的特定业务逻辑，动态地决定用户是否具有某个权限。简单来说，规则就是一段 PHP 代码，它接收用户 ID、角色/权限信息以及一些参数，然后返回
true
或
false
，表示用户是否被允许执行某个操作。
规则的主要作用体现在以下几个方面：
- 动态权限控制: 规则允许你根据运行时的数据来动态地决定用户是否具有某个权限。例如，你可以创建一个规则，只有文章的作者才能编辑该文章。这个规则会检查当前用户 ID 是否与文章的作者 ID 匹配，只有匹配时才允许编辑。
- 细粒度访问控制: 规则可以让你实现更细粒度的访问控制。例如，你可以创建一个规则，只有在某个时间段内，用户才能执行某个操作。
- 自定义业务逻辑: 规则允许你将自定义的业务逻辑集成到 RBAC 系统中。例如，你可以创建一个规则，只有满足特定条件的用户才能访问某个资源。
规则的使用，让权限控制不再是简单的角色分配，而是可以根据实际情况进行灵活调整。比如，在电商平台中，你可以创建一个规则，只有订单金额超过一定数额的用户才能享受特定的优惠。
如何设计一个良好的RBAC系统？
设计一个良好的 RBAC 系统，需要考虑多个方面，以确保系统的安全性、灵活性和可维护性。以下是一些关键的设计原则和建议：
-
明确角色职责: 首先，要清晰地定义每个角色的职责和权限。避免角色职责过于模糊或重叠，确保每个角色都有明确的定位。比如，一个电商平台可以有“管理员”、“运营”、“客服”、“普通用户”等角色，每个角色对应不同的功能模块和数据访问权限。
-
最小权限原则: 为每个角色分配最小权限，即只授予完成其职责所需的最小权限。这有助于降低安全风险，防止用户滥用权限。例如，客服人员只需要查看和修改订单信息，不需要拥有修改商品信息的权限。
-
角色继承: 利用角色继承来简化权限管理。如果多个角色具有相似的权限，可以将这些权限提取到一个父角色中，然后让子角色继承父角色的权限。这样可以避免重复定义权限，提高系统的可维护性。例如，“运营”角色可能需要拥有“客服”角色的所有权限，以及一些额外的权限，例如商品管理权限。
-
规则的使用: 合理使用规则来实现细粒度的访问控制。规则应该尽可能简单和高效，避免在规则中编写复杂的业务逻辑。规则应该只负责检查权限，而不负责执行业务操作。例如，可以使用规则来限制用户只能修改自己创建的文章，或者只能查看自己负责的客户信息。
-
动态权限管理: 考虑使用动态权限管理，允许在运行时修改角色和权限。这可以提高系统的灵活性，适应不断变化的业务需求。例如，可以提供一个管理界面，允许管理员动态地添加、修改和删除角色和权限。
-
审计日志: 记录所有权限相关的操作，例如角色分配、权限修改等。这有助于追踪安全事件，及时发现和解决问题。例如，可以记录谁在什么时间修改了哪个角色的权限。
-
代码分离: 将 RBAC 相关的代码与业务逻辑代码分离，提高代码的可维护性和可测试性。例如，可以将 RBAC 相关的配置和初始化代码放在一个单独的模块中。
-
用户界面: 提供一个友好的用户界面，方便管理员管理角色和权限。用户界面应该清晰易懂，操作简单方便。例如，可以使用树形结构来展示角色和权限的层级关系。
-
测试: 编写充分的测试用例，验证 RBAC 系统的正确性和安全性。测试用例应该覆盖所有可能的场景，包括正常情况和异常情况。例如，可以编写测试用例来验证用户是否具有正确的权限，以及在没有权限的情况下是否能够访问受保护的资源。
通过遵循这些设计原则，可以构建一个安全、灵活和可维护的 RBAC 系统，有效地保护应用程序的资源。
