couchdb 的高级权限

我们有一个包含多个用户和复杂的权限系统的 couchapp 应用程序。 我们的模型有两种：Foo 和 bar。

用户对自己的 Foo 和 Bar 拥有管理员访问权限，并且可以被授予查看、更改和删除其他人的 Foo 和 Bar 的权限。

Example:

用户 Sabrina 有以下型号：

Foo {
  _id: 1
}
Foo {
  _id: 2
}
Bar {
  _id:1
}
Bar {
  _id:2
}

当然，真正的模型是更大的文档。

她想要授予 Giulia 对她的 Foos 的读取权限，以及对她的第一个栏的读取和写入权限。她还希望朱莉娅不能再去参加她的第二次酒吧。

我们如何在 couchdb 中对这种权限进行建模？

这是我们正在使用的解决方案，但它看起来很复杂，我们想知道是否有更简单的解决方案：

我们有多种角色可供选择：{username}:admin：可以读取、写入、删除与用户相关的每个数据库上的所有内容{username}:foos:read：可以读取foos数据库中与用户相关的每一个文档{username}:foos:write：可以写入foos数据库中与用户相关的每一个文档{username}:{bar}:read：可以读取与用户相关的Bar数据库{username}:{bar}:write：可以写入与用户相关的Bar数据库

当 Sabrina 注册到应用程序时，我们创建一个新的sabrina-foos数据库，我们将角色授予用户 Sabrinasabrina:admin.

The sabrina-foos数据库是用一个创建的_security授予角色访问权限的文档sabrina:admin, sabrina:foos:read, sabrina:foos:write.

The sabrina-foos数据库是使用验证功能创建的，该功能允许对角色进行写访问sabrina:admin, sabrina:foos:write.

当 Sabrina 决定让 Giulia 看到她的食物时，我们给了 Giulia 这个角色sabrina:foos:read

当 Sabrina 创建一个名为“Bar 1”的新 Bar 时，我们创建一个新的 Barsabrina-bar_1数据库。

The sabrina-bar_1数据库是使用授予角色访问权限的 _security 文档创建的sabrina:admin, sabrina:bar_1:read, sabrina:bar_1:write

The sabrina-bar_1数据库是使用验证功能创建的，该功能允许对角色进行写访问sabrina:admin, sabrina:bar_1:write.

当然，作为一个 CouchApp，数据库的创建和用户模型的编辑是由节点进程处理的。

你的设计很好。从您的问题来看，您似乎想要文档级身份验证。 couchdb 不提供对单个文档的保护，因此 剩下的唯一选择就是按数据库对文档进行分区并设置读写权限。

有两种选择。最简单的一种是使用rcouch 的读取时验证文档 https://github.com/rcouch/rcouch/wiki/Validate-documents-on-read。我也不是太 当然，但我认为在 couchdb 2.0 中，所有 rouch 的功能都已合并，因此如果您愿意稍等一下，您可以使用 couchdb 2.0（它现在应该随时可用！）。

另一种方法是做你正在做的事情，但是在一个_users http://couchdb.readthedocs.org/en/latest/intro/security.html?highlight=security数据库。在一个_users数据库你可以 创建用户并对他们进行身份验证_sessionsAPI。下面是它的工作原理。

1. 您创建的每个新用户都会进入_users数据库。
2. 在用户文档中，您可以存储允许用户查看哪些文档的列表，或者您是否可以查看哪些文档。 担心单个用户文档会变得太大，然后只存储一个指向可能包含以下内容的数据库的指针 用户可以查看的实际列表。
3. Use the _sessionsapi首先对用户进行身份验证，然后获取用户授权的文档列表 阅读或编辑。
4. 最后获取这些文档并show它给用户。

此方法的优点是您需要最少 2 次、最多 3 次 http 查询。用于验证并获取指向列表的指针。其次获取要获取的文档的实际列表。第三步获取这些文件。作为回报，您的架构将大大简化。

一个非常酷的属性_users数据库的优点是您可以增加配置中的身份验证缓存大小以容纳_user对象在内存中，因此访问时间会非常快。

如果我有一万个文档但只能检索其中一个怎么办？该函数会被调用一万次吗？

我目前没有安装 rcouch，但有一种简单的方法可以通过记录来测试它：-

function(doc, userCtx) {
    log("function called");
    if ((typeof doc.name !== 'undefined') && (doc.name != userCtx.name)) {
        throw({unauthorized: userCtx.name + ' cannnot read ' + doc._id});
    }
}

日志函数将在日志文件中以及正在运行的 couchdb 控制台上打印一条日志消息，以便您可以亲自查看更新函数被调用的次数。如果你能分享结果就太好了:)