在现代 Web 应用程序中，用户权限管理及角色-基于访问控制 (RBAC) 是非常重要的一部分。Hapi.js 框架提供了内置的支持，使得我们能够方便地实现用户权限管理和 RBAC。
用户权限管理
用户权限管理是指通过给予特定用户组或个人访问应用程序资源的不同级别的权限，提供更好的应用程序安全性。
在 Hapi.js 中，我们可以使用 hapi-auth-basic 插件进行基本身份验证，并使用 hapi-cookie 插件设置用户的会话 Cookie。例如，下面是一个简单的身份验证插件：
-- -------------------- ---- -------
----- --------- - ---------------------------
----- ----- - -
----- - --------- ---------- --
---- - --------- ---------- --
--
----- -------- - ----- --------- --------- --------- -- -
----- ---- - ----------------
-- ------- -
------ - -------- ----- --
-
----- ------- - -------- --- --------------
----- ----------- - - --- -------- --
------ - -------- ----------- --
--
-------------- - -
----- -------------
-------- --------
--------- ----- -------- -------- -- -
----- ---------------------------
------------------------------ -------- - -------- ---
------------------------------
--
--在上面的代码中，我们定义了一个名为 auth-basic 的身份验证插件，并使用基础身份验证实现了身份验证。然后，在使用路由时，我们可以将该插件分配给要使用的路由，以确保只有经过身份验证的用户才可以访问它们：
-- -------------------- ---- -------
--------------
------- ------
----- -------------
-------- --------- -- -- -
------ ----- -- - --------- --------
--
-------- -
----- ---------
--
---在上面的代码中，我们将 auth-basic 身份验证插件分配给 /protected 路由，这将确保只有经过身份验证的用户才可以访问该路由。
角色-基于访问控制
角色-基于访问控制是通过将用户组织到角色中，进而管理角色的访问权限的一种方法。在 Hapi.js 中，我们可以使用 hapi-acl-auth 插件来实现 RBAC。下面是一个简单的实现示例：
-- -------------------- ---- -------
----- ------- - -------------------------
----- --------- - ---------------------------
----- ----- - -
----- - --------- ----------- ----- ------- --
---- - --------- ----------- ----- ------ --
--
----- ----- - -
------ -
---- -
- ------- ---- --------- --- --
--
--
----- -
---- -
- ------- ------- --------- --------- --
- ------- ---------- --------- -------- --
--
--
--
----- -------- - ----- --------- --------- --------- -- -
----- ---- - ----------------
-- ------- -
------ - -------- ----- --
-
----- ------- - -------- --- --------------
----- ----------- - - --- --------- ----- --------- --
------ - -------- ----------- --
--
-------------- - -
----- -----------
-------- --------
--------- ----- -------- -------- -- -
----- ---------------------------
----- -------------------------
------------------------------ -------- - -------- ---
--------------------------- ----------- - ----- ---
--------------------- ----------- ---------- ------- ----- ----- ---
--
--在上面的代码中，我们定义了一个名为 auth-acl 的插件，在插件中使用 hapi-acl-auth 插件实现了角色-基于访问控制。我们定义了两个角色，admin 和 user，每个角色有不同的访问权限。我们还定义了 validate 函数，用于验证用户身份和设置其角色。最后，我们使用 server.auth.default() 方法将两个策略分配给默认策略。
现在，我们可以将 auth-acl 插件分配给要使用的路由，并设置 ACL 规则以限制访问权限：
-- -------------------- ---- -------
--------------
------- ------
----- -------------
-------- --------- -- -- -
------ ----- -- - --------- --------
--
-------- -
----- -
--------- ------
------- - ------ --------- --
--
--
---在上面的代码中，我们将 auth-acl 身份验证插件分配给 /protected 路由，并使用 access 选项设置 ACL 规则，该规则只允许 admin 角色的用户访问该路由。
结论
Hapi.js 框架提供了方便的机制来实现用户权限管理和角色-基于访问控制。通过使用 hapi-auth-basic 插件和 hapi-acl-auth 插件，我们可以轻松地实现身份验证和 ACL 规则。通过分配插件和 ACL 规则来保护特定路由，我们可以更好地保护应用程序，并授予不同用户组不同级别的访问权限。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/66f8607fc5c563ced5c1fe8c