RBAC 與 ABAC

Vibe Prompt

「幫我設計一個 RBAC 系統：有 admin、editor、viewer 三種角色，admin 可以管理全部，editor 可以編輯內容，viewer 只能閱讀。」

RBAC 實作

// 角色定義
const ROLES = {
  admin: ['read', 'write', 'delete', 'manage_users'],
  editor: ['read', 'write'],
  viewer: ['read'],
} as const;

// 權限檢查
function authorize(user, requiredPermission) {
  const permissions = ROLES[user.role] || [];
  return permissions.includes(requiredPermission);
}

// Express Middleware
function requirePermission(permission) {
  return (req, res, next) => {
    if (!authorize(req.user, permission)) {
      return res.status(403).json({ error: '權限不足' });
    }
    next();
  };
}

app.get('/api/users', requirePermission('manage_users'), (req, res) => {
  res.json(users);
});

ABAC（屬性基礎）

// ABAC Policy：使用者只能編輯自己的文章
function canEditArticle(user, article) {
  return user.id === article.authorId || user.role === 'admin';
}

// ABAC Policy：只有在上班時間才能刪除
function canDelete(user) {
  const hour = new Date().getHours();
  return user.role === 'admin' && hour >= 9 && hour <= 18;
}

Supabase RLS（Row Level Security）

-- 使用者只能看自己的訂單
CREATE POLICY "Users can view own orders"
ON orders FOR SELECT
USING (auth.uid() = user_id);

-- Admin 可以看全部
CREATE POLICY "Admins can view all"
ON orders FOR SELECT
USING (auth.jwt() ->> 'role' = 'admin');

本章總結

• 理解核心概念與原理
• 掌握實作方法與技巧
• 熟悉常見問題與解決方案
• 能夠應用於實際專案

延伸閱讀

• 官方文件與 API 參考
• GitHub 開源專案範例
• 相關技術書籍與課程
• 社群討論與技術部落格

實作範例

基礎範例

# 本節提供一個完整的實作範例
# 讓你能夠將所學應用到實際專案中

步驟說明

1. 初始化：設定開發環境與必要工具
2. 資料準備：收集與整理所需資料
3. 核心實作：實作主要功能與邏輯
4. 測試驗證：確保功能正確運作
5. 最佳化：調整效能與使用者體驗

常見錯誤

| 錯誤類型 | 可能原因 | 解決方法 | |---------|---------|---------| | 編譯錯誤 | 語法問題 | 檢查程式碼語法 | | 執行錯誤 | 環境問題 | 確認相依套件已安裝 | | 邏輯錯誤 | 演算法問題 | 逐步除錯與測試 | | 效能問題 | 效率問題 | 使用效能分析工具 |

程式碼範例

# 範例程式碼
import sys

def main():
    # 主程式邏輯
    print("Hello, World!")

if __name__ == "__main__":
    main()

相關資源

• 官方文件
• API 參考手冊
• 開源專案範例
• 技術社群討論