前言
PHP-Casbin 是一个用 PHP 语言打造的轻量级开源访问控制框架( https://github.com/php-casbin/php-casbin ),目前在 GitHub 开源。PHP -Casbin 采用了元模型的设计思想,支持多种经典的访问控制方案,如基于角色的访问控制 RBAC、基于属性的访问控制 ABAC 等。
概述
PHP-Casbin 的主要特性包括:
支持自定义请求的格式,默认的请求格式为{subject, object, action};
具有访问控制模型 model 和策略 policy 两个核心概念;
支持 RBAC 中的多层角色继承,不止主体可以有角色,资源也可以具有角色;
支持超级用户,如 root 或 Administrator,超级用户可以不受授权策略的约束访问任意资源;
支持多种内置的操作符,如 keyMatch,方便对路径式的资源进行管理,如 /foo/bar 可以映射到 /foo*;
PHP-Casbin 不做的事情:
身份认证 authentication (即验证用户的用户名、密码),PHP-Casbin 只负责访问控制。应该有其他专门的组件负责身份认证,然后由 PHP-Casbin 进行访问控制,二者是相互配合的关系;
管理用户列表或角色列表。PHP -Casbin 认为由项目自身来管理用户、角色列表更为合适,PHP -Casbin 假设所有策略和请求中出现的用户、角色、资源都是合法有效的。
安装
composer require casbin/casbin
HelloWorld 例子
1. 初始化一个 enforcer,传入两个参数:模型文件路径和策略文件路径;
$e = new Enforcer(__DIR__ . '/examples/modelandpolicy/basic_model.conf', __DIR__ . "/examples/modelandpolicy/basic_policy.csv");
2. 在你的代码需要进行访问控制的位置,加入如下钩子;
$sub = "alice"; // the user that wants to access a resource. $obj = "data1"; // the resource that is going to be accessed. $act = "read"; // the operation that the user performs on the resource. if ($e->enforce($sub, $obj, $act) === true) { // permit alice to read data1x } else { // deny the request, show an error }
3. 采用管理 API 进行权限的管理,如获取一个用户所有的角色;
roles = $e->getRoles('alice');
请参考test 目录获得更多的使用方法。
社区进展
PHP-Casbin 目前正在积极向社区进行推送,目前通过插件的方式已经支持与Laravel 等 Web 框架进行集成,将来会推广到更多 Web 框架以及社区。Casbin 已经有 Golang 版本、Java 版本、PHP 版本和 Node.js 版本。有跨语言需求的开发者可以只用 Casbin 这一套框架就实现多个不同语言的项目的权限管理任务。
Casbin (Go): https://github.com/casbin/casbin
jCasbin (Java): https://github.com/casbin/jcasbin
PHP-Casbin (PHP): https://github.com/php-casbin/php-casbin
Node-Casbin (Node.js): https://github.com/casbin/node-casbin
协议
PHP-Casbin 采用 Apache 2.0 开源协议发布。
联系作者
有问题请提交 Issues: https://github.com/php-casbin/php-casbin/issues
猜你还喜欢
- 09-10PHP一些实用的自定义函数收集
- 12-06php 打包网站在线压缩为zip
- 08-03php 取出周一和周日的时间戳
- 09-10php入门教程
- 08-03PHP 数据类型
- 11-30浅谈PHP防注入
- 08-03PHP编程效率的20个要点
- 11-08PHP-Casbin: 支持ACL、RBAC、ABAC多种模型的PHP权限管理框架
- 04-08PHP开发规范
- 09-19浅谈PHP防注入
- 最新文章
- 随机文章
-
- Dubbo2.7.7反序列化漏洞绕过分析
- 小技巧sqlmap _dns注入配置方法
- 腾讯和老干妈间不得不说的故事
- 内网渗透测试:隐藏通讯隧道技术(上)
- MemoryMapper:一款轻量级代码映射和进程注入工具
- GitMonitor:一款针对GitHub的敏感信息扫描系统
- 挖洞经验 | Gsuite邮件发送功能中的SMTP注入漏洞分析
- DEDECMS伪随机漏洞分析 (三) 碰撞点
- JSshell:一款针对XSS漏洞的JavaScript反向Shell
- 关于学习Oracle注入
- Impost3r:一款针对Linux的密码提取工具
- 红队之外网定向打点
- java代码审计
- 充话费送手机背后的骗局
- 内网渗透测试:隐藏通讯隧道技术(下)
- PHP代码审计之入门实战教程
- 基于ThinkPHP的CMS审计思路
- 八款免费开发安全测试工具
- 一次稍显曲折的爆破经历
- SeaCMS v10.1代码审计实战
- 热门文章
-
- 八年专业安全团队承接渗透入侵维护服务
- Emlog黑客站模板“Milw0rm”发布
- Stuxnet纪录片-零日 Zero.Days (2016)【中文字幕】
- SQLMAP的注入命令以及使用方法
- 白帽故事汇:网络安全战士从来不是「男生」的专利
- 编辑器漏洞手册
- web安全之如何全面发现系统后台
- 常见Web源码泄露总结
- 深入理解JAVA反序列化漏洞
- cmseasy前台无需登录直接获取敏感数据的SQL注入(有POC证明)
- 网站后台登陆万能密码
- 黑麒麟2016渗透培训系列教程
- 破解emlog收费模板“Begin”
- 那些强悍的PHP一句话后门
- Android平台渗透测试套件zANTI v2.5发布(含详细说明)
- 渗透工具BackTrack与KaliLinux全套视频教程
- Python列为黑客应该学的四种编程语言之一 初学者该怎么学
- CVE-2017-11882漏洞复现和利用
- 恶意程序报告在线查询工具
- 利用Thinkphp 5缓存漏洞实现前台Getshell
- 文章标签
-