数据 API 生成器中的角色继承

角色继承功能允许你在一个更为广泛的角色上定义权限，而更具体的角色可以自动继承这些权限。 如果不使用角色继承，您必须针对每个实体上的每个角色重复相同的权限块。 使用角色继承时，您只需在 anonymous 上定义访问权限，所有更广泛的角色都将获得相同的访问权限。

继承链

继承链从最低特权流向最高特权：

named-role → authenticated → anonymous

链条的意思是：

• 如果命名的角色没有权限块，DAB 会查找 authenticated 块。 如果不存在，它将回退到 anonymous。
• 如果没有 authenticated 权限块，DAB 将使用该 anonymous 块。
• 如果anonymous没有权限块，请求将被403 Forbidden拒绝。

继承的解决方式

当 DAB 评估请求时，它会确定有效角色，然后遍历继承链查找权限块：

1. DAB 通过 X-MS-API-ROLE 标头、令牌声明或默认值标识请求的有效角色。
2. DAB 在 entities.<name>.permissions 中查找与有效角色匹配的显式权限块。
3. 如果不存在匹配块，DAB 将沿着链向上遍历：authenticated → anonymous。
4. 找到的第一个匹配块提供请求的权限。
5. 如果链中没有任何块匹配任何角色，DAB 将返回 403 Forbidden。

示例

最低配置：所有角色的单个权限

在read上定义anonymous权限。 每个角色authenticated （以及任何命名角色）都会继承该访问权限。

{
  "entities": {
    "Book": {
      "source": "dbo.books",
      "permissions": [
        { "role": "anonymous", "actions": [ "read" ] }
      ]
    }
  }
}

此配置的有效权限：

Entity: Book
    Role: anonymous        | Actions: Read
    Role: authenticated    | Actions: Read (inherited from: anonymous)
    Unconfigured roles     | Inherit from: anonymous

分层配置：每个角色的不同访问权限

如果需要每个角色的不同访问级别，请显式定义每个访问级别。 继承仅填充您未配置的角色。

{
  "entities": {
    "Order": {
      "source": "dbo.orders",
      "permissions": [
        { "role": "anonymous",      "actions": [ "read" ] },
        { "role": "authenticated",  "actions": [ "read", "create" ] },
        { "role": "admin",          "actions": [ "*" ] }
      ]
    }
  }
}

此配置的有效权限：

Entity: Order
    Role: anonymous        | Actions: Read
    Role: authenticated    | Actions: Read, Create
    Role: admin            | Actions: Create, Read, Update, Delete
    Unconfigured roles     | Inherit from: authenticated

除 admin 以外的任何命名角色（例如 viewer 或 support）均从 authenticated 继承，并获得 read 和 create 的访问权限。

无继承：完全阻止

如果anonymous没有权限块，并且链中的其他角色也都没有权限块，则对该实体的每个请求都会被拒绝。

{
  "entities": {
    "AuditLog": {
      "source": "dbo.audit_log",
      "permissions": [
        { "role": "admin", "actions": [ "read" ] }
      ]
    }
  }
}

在此配置中，只能 admin 访问 AuditLog。 authenticated 和 anonymous 没有可继承的权限块，因此 DAB 会拒绝来自这些角色且包含 403 Forbidden 的请求。

查看有效权限

使用 dab configure --show-effective-permissions 可显示每个实体的解析权限，包括哪些角色从哪些角色继承了权限。 此命令是验证继承是否按预期运行而不运行引擎的最快方法。

dab configure --show-effective-permissions

还可以将特定配置文件作为目标：

dab configure --show-effective-permissions --config my-config.json

示例输出：

Entity: Book
    Role: anonymous        | Actions: Read
    Role: authenticated    | Actions: Read (inherited from: anonymous)
    Unconfigured roles inherit from: anonymous

Entity: Order
    Role: admin            | Actions: Create, Read, Update, Delete
    Role: anonymous        | Actions: Read
    Role: authenticated    | Actions: Read (inherited from: anonymous)
    Unconfigured roles inherit from: authenticated

有关完整选项，请参阅 --show-effective-permissions。

继承与显式权限

相关内容

• 授权概述
• 配置数据库策略
• 配置未认证的提供程序
• --show-effective-permissions 参考
• 版本 2.0 中的新增功能