寫在前面
- 以下內(nèi)容適合Yii 1.0.x，其他版本可能有略微的差別。
- 根據(jù)您的評論和反饋，本文會不斷進(jìn)行修改和補充，以方便新學(xué)習(xí)者。
開始準(zhǔn)備
Yii提供了強大的配置機(jī)制和很多現(xiàn)成的類庫。在Yii中使用RBAC是很簡單的，完全不需要再寫RBAC代碼。所以準(zhǔn)備工作就是，打開編輯器，跟我來。
設(shè)置參數(shù)、建立數(shù)據(jù)庫
在配置數(shù)組中，增加以下內(nèi)容：
| ‘components‘ => array( |
| //…… |
| ‘authManager‘=>array( |
| ‘class‘=>‘CDbAuthManager‘,//認(rèn)證類名稱 |
| ‘defaultRoles‘=>array(‘guest‘),//默認(rèn)角色 |
| ‘itemTable‘ => ‘pre_auth_item‘,//認(rèn)證項表名稱 |
| ‘itemChildTable‘ => ‘pre_auth_item_child‘,//認(rèn)證項父子關(guān)系 |
| ‘assignmentTable‘ => ‘pre_auth_assignment‘,//認(rèn)證項賦權(quán)關(guān)系 |
| ), |
| //…… |
那這三個數(shù)據(jù)表怎么建立呢？很簡單，去看framework/web/auth/schema.sql。注意要和你的自定義的表名稱對應(yīng)起來。比如SQL文件中的AuthItem你要修改為pre_auth_item。然后在數(shù)據(jù)庫中運行這個SQL文件中的語句。
了解概念
你可能要問，剩下的代碼呢？我告訴你，沒有啦。RBAC系統(tǒng)就這樣建立起來了。但是為了使用它，你需要了解它的運行機(jī)制。我會盡量講的啰嗦一點……（官方的RBAC文檔在這里，但是我曾經(jīng)看了4-5遍才明白。）
三個概念
你需要了解的是，授權(quán)項目可分為operations（行動）,tasks（任務(wù)）和 roles（角色）。
一個用戶擁有一個或者多個角色，比如，我們這里有三個角色：銀行行長、銀行職員、顧客。我們假設(shè)：
- 張行長 有角色：銀行行長、銀行職員、顧客（人家自己可以存錢嘛）。
- 王職員 有角色：銀行職員、顧客。
- 小李 有角色：顧客。
那么，相應(yīng)的，只要顧客可以做的事情，小李就可以做，王職員和張行長也可以。銀行職員可以做的事情，王職員和張行長都可以做，小李就不可以了。
比如，一個“顧客”可以存錢，那么擁有“顧客”角色的張行長、王職員、小李都可以存錢。“銀行職員”可以打印顧客的交易記錄，那么有“銀行職員”角 色的張行長和王職員都可以，而小李不行，必須找一個有“銀行職員”角色的人才可以打印詳細(xì)的交易記錄。一個“銀行行長”才可以進(jìn)入銀行錢庫提錢，那么只有 張行長可以，因為它才有“銀行行長”的角色。
這就是基于角色的認(rèn)證體系，簡稱RBAC。
角色的繼承
角色是可以繼承的，比如我們規(guī)定如下：
- 凡是“銀行行長”都是“銀行職員”，也就是說，只要銀行職員可以做的事情，銀行行長都可以做。
- 凡是“銀行職員”都是顧客，同上，顧客可以做的事情銀行職員也可以做。
那么角色關(guān)系就變成了：
- 張行長 有角色：銀行行長。
- 王職員 有角色：銀行職員。
- 小李 有角色：顧客。
這樣更簡單了，這就是角色的繼承。
任務(wù)的繼承
一個任務(wù)（task）是可以包含另外一個任務(wù)的，我們舉個例子，比如“進(jìn)入銀行”。
我們設(shè)定“顧客”這個角色有“進(jìn)入銀行”的權(quán)限。也就是說，“顧客”可以執(zhí)行“進(jìn)入銀行”的任務(wù)。接下來，我們假設(shè)“進(jìn)入柜臺”是進(jìn)入銀行的父權(quán) 限，也就是說，“進(jìn)入柜臺”包含“進(jìn)入銀行”。只要能“進(jìn)入柜臺”的人都可以“進(jìn)入銀行”。我們把“進(jìn)入柜臺”這個任務(wù)權(quán)限給“銀行職員”。
那么從角色上來說，王職員可以進(jìn)入銀行，因為王職員的角色是“銀行職員”，而“銀行職員”包含了“顧客”的角色。那么“顧客”可以進(jìn)行的“任務(wù)”對于“銀行職員”來說也是可以進(jìn)行的。而“顧客”可以“進(jìn)入銀行”，那么王職員也可以“進(jìn)入銀行”。這是角色的繼承帶來的。
我們再假設(shè)有個趙領(lǐng)導(dǎo)，是上級領(lǐng)導(dǎo)，可以進(jìn)入柜臺進(jìn)行視察。那么，我們的任務(wù)關(guān)系是：
- 趙領(lǐng)導(dǎo) 有任務(wù)：進(jìn)入柜臺。
那么，趙領(lǐng)導(dǎo)就可以“進(jìn)入銀行”。因為“進(jìn)入銀行”是被“進(jìn)入柜臺”包含的任務(wù)。只要可以執(zhí)行“進(jìn)入柜臺”的人都可以執(zhí)行“進(jìn)入銀行”。這就是任務(wù)的繼承。
關(guān)于行動
行動是不可劃分的一級。也就是說。而一個行動是不能包含其他行動的。假設(shè)我們有個行動叫“從銀行倉庫中提錢”。我們把這個行動作包含“進(jìn)入柜臺”。那么只要可以執(zhí)行“從銀行倉庫中提錢”的角色都可以執(zhí)行“進(jìn)入柜臺”這個任務(wù)。
三者關(guān)系
- 一個角色可以包含另外一個或者幾個角色。
- 一個角色可以包含另外一個或者幾個任務(wù)。
- 一個角色可以包含另外一個或者幾個行動。
- 一個任務(wù)可以包含另外一個或者幾個任務(wù)。
- 一個任務(wù)可以包含另外一個或者幾個行動。
- 一個行動只能被角色或者任務(wù)包含，行動是不可以包含其他，也不可再分。
這樣，就形成了一個權(quán)限管理體系。關(guān)于“任務(wù)”和“行動”，你不必思考其字面上的意義。這兩者就是形成兩層權(quán)限。
進(jìn)行賦權(quán)
我們建立了RBAC權(quán)限管理，就需要進(jìn)行對權(quán)限的WEB管理。這些就需要你自己寫代碼了。
根據(jù)不同種類的項目調(diào)用下列方法之一定義授權(quán)項目：
一旦我們擁有一套授權(quán)項目，我們可以調(diào)用以下方法建立授權(quán)項目關(guān)系：
最后，我們調(diào)用下列方法來分配角色項目給各個用戶：
下面我們將展示一個例子是關(guān)于用所提供的API建立一個授權(quán)等級：
$auth=Yii::app()->authManager;
$auth->createOperation('createPost','create a post');
$auth->createOperation('readPost','read a post');
$auth->createOperation('updatePost','update a post');
$auth->createOperation('deletePost','delete a post');
$bizRule='return Yii::app()->user->id==$params["post"]->authID;';
$task=$auth->createTask('updateOwnPost','update a post by author himself',$bizRule);
$task->addChild('updatePost');
$role=$auth->createRole('reader');
$role->addChild('readPost');
$role=$auth->createRole('author');
$role->addChild('reader');
$role->addChild('createPost');
$role->addChild('updateOwnPost');
$role=$auth->createRole('editor');
$role->addChild('reader');
$role->addChild('updatePost');
$role=$auth->createRole('admin');
$role->addChild('editor');
$role->addChild('author');
$role->addChild('deletePost');
$auth->assign('reader','readerA');
$auth->assign('author','authorB');
$auth->assign('editor','editorC');
$auth->assign('admin','adminD');
也就是說，你需要自己寫一個管理界面，來列出你的角色、任務(wù)、行動，然后可以在這個界面上進(jìn)行管理。比如增加、刪除、修改。
權(quán)限檢查
假設(shè)你在你的管理界面進(jìn)行了賦權(quán)，那么可以在程序里面進(jìn)行權(quán)限檢查：
if( Yii::app()->user->checkAccess('createPost') ) { // 這里可以顯示表單等操作
} else { // 檢查沒有通過的可以跳轉(zhuǎn)或者顯示警告
}
上面的代碼就檢查了用戶是否可以執(zhí)行“createPost”，這createPost可能是一個任務(wù)，也可以是一個行動。
其他的
對于很多說Yii權(quán)限體系RBAC不好用的人其實都沒有看懂文檔。綜合我的體驗，我感覺Yii框架的RBAC是我用過的框架里面最好用的。而且是需要自己寫代碼最少的。
Yii的RBAC有更加高級的用法，比如“業(yè)務(wù)規(guī)則”，“默認(rèn)角色”。你可以去參考官方文檔。
我知道，會有部分人仍舊不理解RBAC，或者不會用Yii的RBAC。沒有關(guān)系，你可以在下方的評論框里提問。
happy Yii ！
摘要: 一 信號的種類 可靠信號與不可靠信號, 實時信號與非實時信號 可靠信號就是實時信號, 那些從UNIX系統(tǒng)繼承過來的信號都是非可靠信號, 表現(xiàn)在信號 不支持排隊,信號可能會丟失, 比如發(fā)送多次相同的信號, 進(jìn)程只能收到一次. 信號值小于 SIGRTMIN的都是非可靠信號. 非可靠信號就是非實時信號, 后來, Linux改進(jìn)了信號機(jī)制, 增加了32種新的信號, 這些信 號都是可靠信號, 表現(xiàn)在信號支持...
許多人用shell腳本完成一些簡單任務(wù)，而且變成了他們生命的一部分。不幸的是，shell腳本在運行異常時會受到非常大的影響。在寫腳本時將這類問題最小化是十分必要的。本文中我將介紹一些讓bash腳本變得健壯的技術(shù)。
使用set -u
你因為沒有對變量初始化而使腳本崩潰過多少次？對于我來說，很多次。
chroot=$1 ... rm -rf $chroot/usr/share/doc
如果上面的代碼你沒有給參數(shù)就運行，你不會僅僅刪除掉chroot中的文檔，而是將系統(tǒng)的所有文檔都刪除。那你應(yīng)該做些什么呢？好在bash提供了set -u，當(dāng)你使用未初始化的變量時，讓bash自動退出。你也可以使用可讀性更強一點的set -o nounset。
david% bash /tmp/shrink-chroot.sh
$chroot=
david% bash -u /tmp/shrink-chroot.sh
/tmp/shrink-chroot.sh: line 3: $1: unbound variable
david%
使用set -e
你寫的每一個腳本的開始都應(yīng)該包含set -e。這告訴bash一但有任何一個語句返回非真的值，則退出bash。使用-e的好處是避免錯誤滾雪球般的變成嚴(yán)重錯誤，能盡早的捕獲錯誤。更加可讀的版本：set -o errexit
使用-e把你從檢查錯誤中解放出來。如果你忘記了檢查，bash會替你做這件事。不過你也沒有辦法使用$?來獲取命令執(zhí)行狀態(tài)了，因為bash無法獲得任何非0的返回值。你可以使用另一種結(jié)構(gòu)：
command
if [ "$?"-ne 0]; then echo "command failed"; exit 1; fi
可以替換成：
command || { echo "command failed"; exit 1; }
或者使用：
if ! command; then echo "command failed"; exit 1; fi
如果你必須使用返回非0值的命令，或者你對返回值并不感興趣呢？你可以使用 command || true ，或者你有一段很長的代碼，你可以暫時關(guān)閉錯誤檢查功能，不過我建議你謹(jǐn)慎使用。
set +e
command1
command2
set -e
相關(guān)文檔指出，bash默認(rèn)返回管道中最后一個命令的值，也許是你不想要的那個。比如執(zhí)行 false | true 將會被認(rèn)為命令成功執(zhí)行。如果你想讓這樣的命令被認(rèn)為是執(zhí)行失敗，可以使用 set -o pipefail
程序防御 - 考慮意料之外的事
你的腳本也許會被放到“意外”的賬戶下運行，像缺少文件或者目錄沒有被創(chuàng)建等情況。你可以做一些預(yù)防這些錯誤事情。比如，當(dāng)你創(chuàng)建一個目錄后，如果父目錄不存在，mkdir 命令會返回一個錯誤。如果你創(chuàng)建目錄時給mkdir命令加上-p選項，它會在創(chuàng)建需要的目錄前，把需要的父目錄創(chuàng)建出來。另一個例子是 rm 命令。如果你要刪除一個不存在的文件，它會“吐槽”并且你的腳本會停止工作。（因為你使用了-e選項，對吧？）你可以使用-f選項來解決這個問題，在文件不存在的時候讓腳本繼續(xù)工作。
準(zhǔn)備好處理文件名中的空格
有些人從在文件名或者命令行參數(shù)中使用空格，你需要在編寫腳本時時刻記得這件事。你需要時刻記得用引號包圍變量。
if [ $filename = "foo" ];
當(dāng)$filename變量包含空格時就會掛掉。可以這樣解決：
if [ "$filename" = "foo" ];
使用$@變量時，你也需要使用引號，因為空格隔開的兩個參數(shù)會被解釋成兩個獨立的部分。
david% foo() { for i in $@; do echo $i; done }; foo bar "baz quux"
bar
baz
quux
david% foo() { for i in "$@"; do echo $i; done }; foo bar "baz quux"
bar
baz quux
我沒有想到任何不能使用"$@"的時候，所以當(dāng)你有疑問的時候，使用引號就沒有錯誤。
如果你同時使用find和xargs，你應(yīng)該使用 -print0 來讓字符分割文件名，而不是換行符分割。
david% touch "foo bar"
david% find | xargs ls
ls: ./foo: No such file or directory
ls: bar: No such file or directory
david% find -print0 | xargs -0 ls
./foo bar
設(shè)置的陷阱
當(dāng)你編寫的腳本掛掉后，文件系統(tǒng)處于未知狀態(tài)。比如鎖文件狀態(tài)、臨時文件狀態(tài)或者更新了一個文件后在更新下一個文件前掛掉。如果你能解決這些問題， 無論是 刪除鎖文件，又或者在腳本遇到問題時回滾到已知狀態(tài)，你都是非常棒的。幸運的是，bash提供了一種方法，當(dāng)bash接收到一個UNIX信號時，運行一個 命令或者一個函數(shù)?？梢允褂?strong>trap命令。
trap command signal [signal ...]
你可以鏈接多個信號（列表可以使用kill -l獲得），但是為了清理殘局，我們只使用其中的三個：INT，TERM和EXIT。你可以使用-as來讓traps恢復(fù)到初始狀態(tài)。
信號描述
| INT | Interrupt - 當(dāng)有人使用Ctrl-C終止腳本時被觸發(fā) |
| TERM | Terminate - 當(dāng)有人使用kill殺死腳本進(jìn)程時被觸發(fā) |
| EXIT | Exit - 這是一個偽信號，當(dāng)腳本正常退出或者set -e后因為出錯而退出時被觸發(fā) |
當(dāng)你使用鎖文件時，可以這樣寫：
if [ ! -e $lockfile ]; then
touch $lockfile
critical-section
rm $lockfile
else
echo "critical-section is already running"
fi
當(dāng)最重要的部分(critical-section)正在運行時，如果殺死了腳本進(jìn)程，會發(fā)生什么呢？鎖文件會被扔在那，而且你的腳本在它被刪除以前再也不會運行了。解決方法：
if [ ! -e $lockfile ]; then
trap " rm -f $lockfile; exit" INT TERM EXIT
touch $lockfile
critical-section
rm $lockfile
trap - INT TERM EXIT
else
echo "critical-section is already running"
fi
現(xiàn)在當(dāng)你殺死進(jìn)程時，鎖文件一同被刪除。注意在trap命令中明確地退出了腳本，否則腳本會繼續(xù)執(zhí)行trap后面的命令。
在上面鎖文件的例子中，有一個竟態(tài)條件是不得不指出的，它存在于判斷鎖文件和創(chuàng)建鎖文件之間。一個可行的解決方法是使用IO重定向和bash的noclobber(wikipedia)模式，重定向到不存在的文件。我們可以這么做：
if ( set -o noclobber; echo "$$" > "$lockfile") 2> /dev/null;
then
trap 'rm -f "$lockfile"; exit $?' INT TERM EXIT
critical-section
rm -f "$lockfile"
trap - INT TERM EXIT
else
echo "Failed to acquire lockfile: $lockfile"
echo "held by $(cat $lockfile)"
fi
更復(fù)雜一點兒的問題是你要更新一大堆文件，當(dāng)它們更新過程中出現(xiàn)問題時，你是否能讓腳本掛得更加優(yōu)雅一些。你想確認(rèn)那些正確更新了，哪些根本沒有變化。比如你需要一個添加用戶的腳本。
add_to_passwd $user
cp -a /etc/skel /home/$user
chown $user /home/$user -R
當(dāng)磁盤空間不足或者進(jìn)程中途被殺死，這個腳本就會出現(xiàn)問題。在這種情況下，你也許希望用戶賬戶不存在，而且他的文件也應(yīng)該被刪除。
rollback() {
del_from_passwd $user
if [ -e /home/$user ]; then
rm -rf /home/$user
fi
exit
}
trap rollback INT TERM EXIT
add_to_passwd $user
cp -a /etc/skel /home/$user
chown $user /home/$user -R
trap - INT TERM EXIT
在腳本最后需要使用trap關(guān)閉rollback調(diào)用，否則當(dāng)腳本正常退出的時候rollback將會被調(diào)用，那么腳本等于什么都沒做。
保持原子化
又是你需要一次更新目錄中的一大堆文件，比如你需要將URL重寫到另一個網(wǎng)站的域名。你也許會寫：
for file in $(find /var/www -type f -name "*.html"); do
perl -pi -e 's/www.example.net/www.example.com/' $file
done
如果修改到一半是腳本出現(xiàn)問題，一部分使用www.example.com，而另一部分使用www.example.net。你可以使用備份和trap解決，但在升級過程中你的網(wǎng)站URL是不一致的。
解決方法是將這個改變做成一個原子操作。先對數(shù)據(jù)做一個副本，在副本中更新URL，再用副本替換掉現(xiàn)在工作的版本。你需要確認(rèn)副本和工作版本目錄在同一個磁盤分區(qū)上，這樣你就可以利用Linux系統(tǒng)的優(yōu)勢，它移動目錄僅僅是更新目錄指向的inode節(jié)點。
cp -a /var/www /var/www-tmp
for file in $(find /var/www-tmp -type -f -name "*.html"); do
perl -pi -e 's/www.example.net/www.example.com/' $file
done
mv /var/www /var/www-old
mv /var/www-tmp /var/www
這意味著如果更新過程出問題，線上系統(tǒng)不會受影響。線上系統(tǒng)受影響的時間降低為兩次mv操作的時間，這個時間非常短，因為文件系統(tǒng)僅更新inode而不用真正的復(fù)制所有的數(shù)據(jù)。
這種技術(shù)的缺點是你需要兩倍的磁盤空間，而且那些長時間打開文件的進(jìn)程需要比較長的時間才能升級到新文件版本，建議更新完成后重新啟動這些進(jìn)程。對 于 apache服務(wù)器來說這不是問題，因為它每次都重新打開文件。你可以使用lsof命令查看當(dāng)前正打開的文件。優(yōu)勢是你有了一個先前的備份，當(dāng)你需要還原 時，它就派上用場了。