Node-Casbin 多租户实现：基于域的分权管理方案

2026-01-20 01:09:14作者：平淮齐Percy

🚀 在现代企业应用中，多租户架构已成为SaaS服务的标配。而权限管理作为多租户系统的核心组件，直接影响着数据安全与用户体验。Node-Casbin作为Node.js领域最强大的访问控制库，通过其独特的域模型设计，为开发者提供了一套完整的多租户权限管理解决方案。本文将为您详细介绍如何利用Node-Casbin实现高效的多租户权限控制。

什么是多租户权限管理？🤔

多租户权限管理是指在单个软件实例中为多个租户提供独立、安全的访问控制。每个租户拥有自己的用户、角色和权限配置，彼此完全隔离。比如一个SaaS平台需要为不同企业客户提供独立的用户管理，这就是典型的多租户场景。

Node-Casbin 域模型：权限隔离的核心武器

Node-Casbin通过引入域（Domain） 概念，将传统的RBAC模型扩展为支持多租户的域RBAC模型。在域模型中，每个权限策略都与特定的域关联，实现租户间的权限完全隔离。

域模型配置文件解析

让我们先来看看Node-Casbin的域模型配置文件 examples/rbac_with_domains_model.conf：

[request_definition]
r = sub, dom, obj, act

[policy_definition]
p = sub, dom, obj, act

[role_definition]
g = _, _, _

[policy_effect]
e = some(where (p.eft == allow))

[matchers]
m = g(r.sub, p.sub, r.dom) && r.dom == p.dom && r.obj == p.obj && r.act == p.act

在这个配置中，请求定义从传统的(sub, obj, act)扩展为(sub, dom, obj, act)，其中dom就是域标识符，对应不同的租户。

策略数据：租户权限的具体实现

在 examples/rbac_with_domains_policy.csv 文件中，我们可以看到具体的权限策略：

p, admin, domain1, data1, read
p, admin, domain1, data1, write
p, admin, domain2, data2, read
p, admin, domain2, data2, write

g, alice, admin, domain1
g, bob, admin, domain2

这个策略文件清晰地展示了：

管理员角色admin在domain1租户中对data1拥有读写权限
管理员角色admin在domain2租户中对data2拥有读写权限
用户alice被分配到domain1租户的admin角色
用户bob被分配到domain2租户的admin角色

快速上手：5分钟搭建多租户权限系统

安装与初始化

首先安装Node-Casbin：

npm install casbin --save

然后创建权限执行器：

const { newEnforcer } = require('casbin');
const enforcer = await newEnforcer(
  'rbac_with_domains_model.conf', 
  'rbac_with_domains_policy.csv'
);

权限验证实战

// alice 在 domain1 租户中访问 data1
const result1 = await enforcer.enforce('alice', 'domain1', 'data1', 'read');
console.log(result1); // true - 允许访问

// alice 尝试跨租户访问 domain2 的数据
const result2 = await enforcer.enforce('alice', 'domain2', 'data2', 'read');
console.log(result2); // false - 拒绝访问

动态权限管理

Node-Casbin提供了丰富的API进行动态权限管理：

// 为租户添加新角色
await enforcer.addPolicy('manager', 'domain1', 'data3', 'write');

// 查询用户在特定租户中的角色
const roles = await enforcer.getRolesForUserInDomain('alice', 'domain1');
console.log(roles); // ['admin']