一.问题
最近收到一位朋友的求助,说他项目上的权限授权出现了问题,现象是在基础服务授权角色:RC 权限:X.Default,在基础服务使用RC角色的用户登录能访问到权限X.Default资源,而在X服务访问不到。重启X服务后就可以访问。
项目框架:ABP Vnext 6.0版本
数据库:共享一个
微服务架构如下:
请求/api/abp/application-configuration接口
基础服务
"auth": {
"Policies": {
"X.Default": true
}
"grantedPolicies": {
"X.Default": true
}
},
X服务
"auth": {
"Policies": {
"X.Default": true
}
"grantedPolicies": {
}
},
二.分析原因
1.X服务权限资源已加载,没有获取到x.Default的授权
2.基础服务权限资源已加载并且获取到x.Default的授权
3.共享库AbpPermissionGrants表中存在记录:ProviderKey:R ProviderName:RX Name: x.Default。 说明该角色已经授权了X.Default
4.重启X服务后再次请求获取到X.Default的授权
由上可推测X服务获取不到X.Default授权的原因大概是因为缓存。
怎么验证猜测,把日志等级调为Debug,再次请求查看日志
2023-06-15 11:14:53.087 +08:00 [DBG] PermissionStore.GetCacheItemAsync: pn:RX,pk:R,n:X.Default......
2023-06-15 11:14:53.088 +08:00 [DBG] Found in the cache: pn:RX,pk:R,n:X.Default......
问题确定。
三.问题本质
要了解问题本质我们先来简单梳理一遍权限授权验证流程
不管是走中间件还是拦截器,验证授权最终都是调用了AbpAuthrizaionService.AuthorzieAsync()方法,结合日志,我们来看看PermissionStore.IsGrantedAsync()方法
public virtual async Task IsGrantedAsync(string name, string providerName, string providerKey)
{
return (await GetCacheItemAsync(name, providerName, providerKey)).IsGranted;
}
protected virtual async Task GetCacheItemAsync(
string name, // X.Default
string providerName, // RX
string providerKey) //R
{
var cacheKey = CalculateCacheKey(name, providerName, providerKey); //计算缓存key=pn:RX,pk:R,n:X.Default
Logger.LogDebug($"PermissionStore.GetCacheItemAsync: {cacheKey}");
var cacheItem = await Cache.GetAsync(cacheKey); //获取缓存
if (cacheItem != null)
{
Logger.LogDebug($"Found in the cache: {cacheKey}");
return cacheItem; //存在则返回
}
Logger.LogDebug($"Not found in the cache: {cacheKey}");
cacheItem = new PermissionGrantCacheItem(false);
await SetCacheItemsAsync(providerName, providerKey, name, cacheItem); //不存在缓存则查数据库后将结果缓存
return cacheItem;
}
protected virtual async Task SetCacheItemsAsync(
string providerName,
string providerKey,
string currentName,
PermissionGrantCacheItem currentCacheItem)
{
var permissions = PermissionDefinitionManager.GetPermissions(); //获取该服务加载的权限资源
Logger.LogDebug($"Getting all granted permissions from the repository for this provider name,key: {providerName},{providerKey}");
var grantedPermissionsHashSet = new HashSet(
(await PermissionGrantRepository.GetListAsync(providerName, providerKey)).Select(p => p.Name) //从数据库查找已授权的权限资源
);
Logger.LogDebug($"Setting the cache items. Count: {permissions.Count}");
var cacheItems = new List>(); //权限授权结果缓存集合
foreach (var permission in permissions)
{
var isGranted = grantedPermissionsHashSet.Contains(permission.Name); //存在授权列表中则已授权,否则未授权
cacheItems.Add(new KeyValuePair( //把结果加进集合
CalculateCacheKey(permission.Name, providerName, providerKey),
new PermissionGrantCacheItem(isGranted))
);
if (permission.Name == currentName)
{
currentCacheItem.IsGranted = isGranted;
}
}
await Cache.SetManyAsync(cacheItems); //设置缓存
Logger.LogDebug($"Finished setting the cache items. Count: {permissions.Count}");
}
第一次请求X服务:load了一遍权限资源,并把X.Default标记为false缓存了起来,后面再授权角色RX 资源X.Default,因为缓存的存在再次获取还是未授权。重启服务后正常
而基础服务之所以能实时更新是因为权限管理模型就在这里, PermissionGrantCacheItemInvalidator 订阅了PermissionGrant变更的本地事件会清空缓存。
四.解决方案
一.授权验证都走基础服务
1.引用Volo.Abp.AspNetCore.Mvc.Client nutget包
2.添加AbpAspNetCoreMvcClientModule模块
3.添加配置
"RemoteServices": {
"AbpMvcClient": {
"BaseUrl": "http://localhost:XXXX", //配基础服务或网关
}
}
RemotePermissionChecker会取代PermissionChecker,请求远程服务进行权限验证,并将结果缓存起来,有效时间是300s(硬编码,todo:未来可配)
configuration = await Cache.GetOrAddAsync(
cacheKey,
async () => await ApplicationConfigurationAppService.GetAsync(),
() => new DistributedCacheEntryOptions
{
AbsoluteExpirationRelativeToNow = TimeSpan.FromSeconds(300) //TODO: Should be configurable.
}
);
更改后的授权验证流程
二 使用Redis缓存替换应用缓存
备注:key要一致
最后朋友采用了方案二解决了问题,理由是实时。如果你有更好的解决方案请在评论告知我感谢!!!!
服务器托管,北京服务器托管,服务器租用 http://www.fwqtg.net
机房租用,北京机房租用,IDC机房托管, http://www.fwqtg.net
1 软件分类 在LInux操作系统中主要有自由软件和开源软件,现在我们使用的最多的很多的自由软件或者开原软件几乎都得益于GUN计划。 GUN计划是…