CASL条件规则为何允许无限制读取？如何修正该问题？

为什么第二个示例返回true？ #

CASL中，调用can("read", "User")（仅指定主题类型、不带具体对象）时，判断逻辑是用户是否拥有对该类型至少一个实例执行操作的权限。你的原规则定义了用户可读取orgId匹配的User实例，CASL会判定用户具备读取部分User的权限，因此返回true。

修改后的代码实现 #

要让检查具体匹配对象返回true、检查类型返回false，需要先默认禁止读取User类型，再允许读取符合条件的User实例：

function defineAbilityFor(user) {
  const { can, cannot } = new AbilityBuilder();
  // 默认禁止读取所有User类型的权限
  cannot("read", "User");
  // 允许读取orgId与当前用户匹配的User实例
  can("read", "User", { orgId: user.orgId });
  return build();
}

验证结果 #

// 检查具体匹配的User对象，返回true
defineAbilityFor({ orgId: "123" }).can("read", subject("User", { orgId: "123" })); 
// 仅检查User类型，返回false
defineAbilityFor({ orgId: "123" }).can("read", "User"); 

规则逻辑说明 #

CASL遵循最具体规则优先的匹配原则：

• 当检查具体对象时，会优先匹配带条件的can规则，因此符合orgId匹配条件的对象会返回true；
• 当仅检查主题类型时，会匹配针对类型的cannot规则，因此返回false。

内容的提问来源于stack exchange，提问作者gamliela