WeKnora文档权限控制：基于角色的访问控制与数据隔离实现

焦祯喜Kit

605人浏览 · 2025-11-01 00:53:47

焦祯喜Kit · 2025-11-01 00:53:47 发布

WeKnora文档权限控制：基于角色的访问控制与数据隔离实现

【免费下载链接】WeKnora LLM-powered framework for deep document understanding, semantic retrieval, and context-aware answers using RAG paradigm. 项目地址: https://gitcode.com/GitHub_Trending/we/WeKnora

在企业级应用开发中，文档权限控制是保障数据安全的核心环节。WeKnora作为基于大型语言模型（LLM）的文档理解与检索框架，通过多维度权限控制机制确保敏感数据的安全访问。本文将详细解析WeKnora的权限控制体系，包括基于角色的访问控制（RBAC）设计、租户数据隔离实现及关键技术细节。

权限控制架构概览

WeKnora采用"认证-授权-数据隔离"三层架构实现权限控制，通过模块化设计确保各环节职责清晰。认证层负责用户身份验证，授权层基于用户角色分配操作权限，数据隔离层则通过租户ID实现多租户数据隔离。

核心实现模块包括：

认证处理：internal/handler/auth.go
授权中间件：internal/middleware/auth.go
用户数据模型：internal/types/user.go
租户管理：internal/application/service/tenant.go

用户认证机制

WeKnora支持JWT令牌认证和API密钥认证两种方式，满足不同场景的接入需求。

JWT令牌认证流程

用户通过Login接口提交凭证
服务端验证通过后生成JWT令牌对（access_token和refresh_token）
客户端后续请求在Authorization头中携带Bearer令牌
认证中间件Auth验证令牌有效性

关键实现代码：

// JWT Token验证逻辑
authHeader := c.GetHeader("Authorization")
if authHeader != "" && strings.HasPrefix(authHeader, "Bearer ") {
    token := strings.TrimPrefix(authHeader, "Bearer ")
    user, err := userService.ValidateToken(c.Request.Context(), token)
    if err == nil && user != nil {
        // 存储用户和租户信息到上下文
        c.Set(types.TenantIDContextKey.String(), user.TenantID)
        c.Set(types.TenantInfoContextKey.String(), tenant)
        c.Set("user", user)
        // ...
        c.Next()
        return
    }
}

API密钥认证

对于服务间调用场景，WeKnora支持通过X-API-Key头进行认证，直接关联租户信息：

// API Key认证逻辑
apiKey := c.GetHeader("X-API-Key")
if apiKey != "" {
    tenantID, err := tenantService.ExtractTenantIDFromAPIKey(apiKey)
    if err != nil {
        // 处理错误
    }
    // 验证API Key并设置租户上下文
    // ...
}

基于角色的访问控制

WeKnora通过用户-角色-权限的映射关系实现细粒度权限控制，核心数据模型如下：

用户模型设计

User结构体包含租户ID字段，实现用户与租户的关联：

type User struct {
    ID string `json:"id" gorm:"type:varchar(36);primaryKey"`
    Username string `json:"username" gorm:"type:varchar(100);uniqueIndex;not null"`
    Email string `json:"email" gorm:"type:varchar(255);uniqueIndex;not null"`
    PasswordHash string `json:"-" gorm:"type:varchar(255);not null"`
    // 租户ID关联
    TenantID uint `json:"tenant_id" gorm:"index"`
    // ...其他字段
}

权限验证流程

认证通过后，用户角色信息附加到请求上下文
业务逻辑层通过GetCurrentUser获取用户信息
根据用户角色判断是否有权执行特定操作

权限检查示例：

// 获取当前用户信息
user, err := h.userService.GetCurrentUser(ctx)
if err != nil {
    // 处理错误
}
// 基于角色的权限检查
if !hasPermission(user.Roles, requiredPermission) {
    return errors.NewForbiddenError("Insufficient permissions")
}

租户数据隔离实现

多租户数据隔离是企业级应用的核心需求，WeKnora通过以下机制确保租户数据边界：

上下文传递租户ID

认证通过后，中间件将租户ID存入请求上下文，后续处理流程可通过GetTenantIDFromContext获取：

// 从上下文获取租户ID
func GetTenantIDFromContext(ctx context.Context) (uint, error) {
    tenantID, ok := ctx.Value("tenantID").(uint)
    if !ok {
        return 0, errors.New("tenant ID not found in context")
    }
    return tenantID, nil
}

数据访问层过滤

在数据库操作中，自动附加租户ID条件，确保租户只能访问自己的数据：

// 租户数据过滤示例
db.Where("tenant_id = ?", tenantID).Find(&knowledgeBases)

存储隔离策略

WeKnora支持灵活的存储隔离策略，可通过配置文件config/config.yaml选择：

共享数据库，独立Schema：适用于中小型部署
独立数据库：适用于对数据隔离有严格要求的场景

安全加固措施

令牌管理

WeKnora实现完善的令牌生命周期管理，包括：

短期有效的access_token（默认2小时）
长期有效的refresh_token（默认7天）
令牌撤销机制：Logout接口

// 令牌撤销实现
func (h *AuthHandler) Logout(c *gin.Context) {
    // 从Authorization头提取令牌
    authHeader := c.GetHeader("Authorization")
    // ...解析令牌
    // 撤销令牌
    err := h.userService.RevokeToken(ctx, token)
    // ...
}

密码安全

系统采用强哈希算法存储密码，User模型中密码字段标记为不JSON序列化：

// 密码字段不对外暴露
PasswordHash string `json:"-" gorm:"type:varchar(255);not null"`

密码修改需验证旧密码，实现代码见ChangePassword接口。

最佳实践与配置

权限配置示例

通过config/config.yaml可配置细粒度权限策略：

# 权限策略配置
permission:
  default_roles:
    - name: "viewer"
      permissions: ["knowledgebase:read", "chat:read"]
    - name: "editor"
      permissions: ["knowledgebase:read", "knowledgebase:write", "chat:read", "chat:write"]
    - name: "admin"
      permissions: ["*"]