ZenStack权限控制：多态角色下的精细化访问管理

在构建现代企业应用时，权限控制是一个核心且复杂的挑战。特别是在涉及多态角色（Polymorphic Roles）的业务场景中，如何优雅地实现细粒度的访问控制往往让开发者头疼。本文将以ZenStack框架为例，深入探讨如何解决这类权限控制难题。

业务场景分析

我们面临的是一个典型的B2B电商平台场景，主要涉及三类角色：

1. 供应商（Supplier）：发布商品广告
2. 采购商（Buyer）：分为商店（STORE）、餐厅（RESTAURANT）和批发商（WHOLESALER）三种子类型
3. 管理员（Admin）：拥有全局权限

核心业务对象是广告（Ad），其访问规则需要满足：

• 供应商只能查看和管理自己发布的广告
• 不同类型的采购商只能看到针对其类型的广告
• 管理员拥有全部权限

现有实现的问题

当前方案通过在Ad模型中硬编码采购商类型判断：

@@allow('all', auth().company.companyType == 'Buyer' && 'STORE' in buyerTypes)

这种实现存在明显缺陷：

1. 可维护性差：需要为每种采购商类型重复编写相似规则
2. 扩展性弱：新增采购商类型时需要修改多处代码
3. 关联查询限制：无法直接引用关联模型的字段进行比较

理想解决方案

我们期望能够实现以下两种更优雅的方式之一：

方案一：直接引用关联模型字段

@@allow('all', auth().company.companyType == 'Buyer' && auth().company.buyer.type in buyerTypes)

方案二：通过冗余字段简化查询

// 在Company模型中添加buyerType字段
buyerType BuyerType?

// 然后在规则中使用
@@allow('all', auth().company.companyType == 'Buyer' && auth().company.buyerType in buyerTypes)

技术实现挑战

当前ZenStack的限制在于：

1. 模型间字段比较：不支持直接在不同模型的字段间进行比较
2. 多态查询优化：对委托字段（delegated fields）的查询支持有待增强

临时解决方案

目前可行的过渡方案是枚举所有采购商类型组合：

@@allow("all", auth().company.buyerType == "RESTAURANT" && "RESTAURANT" in buyerTypes)
@@allow("all", auth().company.buyerType == "STORE" && "STORE" in buyerTypes)
@@allow("all", auth().company.buyerType == "WHOLESALER" && "WHOLESALER" in buyerTypes)

虽然解决了功能需求，但这种方案在类型增多时会变得难以维护。

最佳实践建议

针对类似场景，我们建议：

1. 评估字段冗余：对于查询频繁的关联字段，可考虑适当冗余
2. 抽象公共规则：将重复的权限逻辑提取为可复用的策略
3. 分层权限设计：结合模型级和字段级权限控制
4. 考虑未来扩展：预留足够的灵活性应对业务变化

未来优化方向

ZenStack团队正在积极改进多态模型查询支持，未来版本可能会提供：

1. 跨模型字段比较支持
2. 更灵活的多态查询语法
3. 委托字段的深度集成

这种改进将大大简化复杂业务场景下的权限控制实现。

总结

多态角色下的权限控制是现代应用开发的常见需求。通过本文的分析，我们不仅理解了当前ZenStack的局限性，也看到了未来的优化方向。在实际开发中，开发者需要权衡方案的可维护性和性能，选择最适合当前业务阶段的实现方式。随着ZenStack的持续演进，这类复杂权限场景的实现将会变得更加简洁和强大。