OpenFGA 递归用户集检查性能优化实践

背景介绍

OpenFGA 是一个高性能的授权系统，它使用基于关系的访问控制模型。在实际应用中，我们经常会遇到用户集(UserSet)和元组到用户集(Tuple-to-UserSet)的递归引用场景。这类场景下，当前的检查(Check)API存在明显的性能瓶颈，需要进行优化。

问题分析

在当前的实现中，当检查类似"用户X是否是组5的成员"这样的权限时，如果组的成员关系是通过递归方式定义的(即一个组的成员可以是其他组的成员)，系统会为每一层级的关系单独发起数据存储查询。

以一个具体的模型为例：

type user
type group
  relations
    define member: [user, group#member]

假设有以下组成员关系：

• 组2的成员是组1的成员
• 组3的成员是组2的成员
• 组4的成员是组3的成员
• 组5的成员是组4的成员

当检查"用户X是否是组5的成员"时，当前实现需要：

1. 4次单独的数据存储查询来检查用户X是否直接是某个组的成员
2. 4次单独的数据存储查询来检查组1到组4的成员关系 总共需要8次数据存储查询

性能瓶颈

这种实现方式存在两个主要问题：

1. 查询次数过多：随着递归层级的增加，查询次数呈线性增长
2. 延迟累积：每次查询都需要独立的网络往返时间，导致总延迟增加

优化方案

理想的优化方案应该能够：

1. 将用户检查合并为一次批量查询
2. 保持组关系的层级查询，但可能通过批处理或其他优化手段减少查询次数

具体来说，优化后的查询可以简化为：

1. 1次批量查询检查用户X在所有组中的成员关系
2. 4次组关系查询(无法避免，因为需要验证组间关系链)

技术实现考量

实现这种优化需要考虑以下几个方面：

1. 批量查询接口：数据存储层需要支持批量查询用户与多个对象的关系
2. 缓存策略：对于频繁访问的组关系，可以考虑引入缓存机制
3. 查询计划优化：系统需要智能地决定何时使用批量查询，何时使用单独查询
4. 结果合并：需要有效合并批量查询结果与层级查询结果

预期收益

这种优化可以带来以下好处：

1. 降低延迟：减少网络往返次数，显著降低总体延迟
2. 减少负载：降低数据存储的查询压力
3. 提升吞吐量：系统可以处理更多的并发检查请求

总结

OpenFGA在处理递归用户集关系时的性能优化是一个典型的查询优化问题。通过合并同类查询、减少网络往返次数，可以显著提升系统性能。这种优化不仅适用于当前描述的场景，也为处理其他复杂权限模型提供了参考思路。在实际应用中，还需要结合具体的使用模式和规模，进一步调整和优化查询策略。