如何在HLF中实现仅资产所属组织可更新、所有组织可读的权限控制

以下是适配需求的4种可落地实现方案：

• 方案1：链码静态维护MSPID与组织编码映射
  这是你提到的基础思路的落地版本：在链码Init初始化阶段，将预先确认的3个组织的MSPID与对应组织编码的映射关系，作为常量存储在链码中，或者写入世界状态固化。在所有资产写操作（创建、更新、删除）的接口逻辑最前面，先通过GetCreator().GetMspid()方法获取调用请求发起方的MSPID，匹配得到对应组织编码后，再提取待操作资产的键前缀做对比，二者完全一致才允许执行后续操作，否则直接返回权限错误。
  该方案实现逻辑简单，运行性能开销极低，适合组织架构长期固定的场景；缺点是后续新增组织需要升级链码调整映射规则。
• 方案2：基于Fabric ABAC（属性访问控制）实现
  你可以将组织编码映射下沉到证书层面实现：各组织的CA在签发用户/节点证书时，给证书添加自定义属性orgCode，属性值固定为该组织的编码。链码侧通过GetClientIdentity().GetAttributeValue("orgCode")接口直接获取调用者的组织编码，再和资产键前缀做匹配校验即可。
  该方案的优势是后续新增组织不需要修改链码逻辑，只要新组织签发的证书携带正确的orgCode属性即可正常适配规则，权限粒度也可以灵活扩展到单用户级别；需要注意的是要提前配置组织CA支持自定义证书属性，链码中要增加属性不存在的异常拦截逻辑，避免权限被绕过。
• 方案3：基于私有数据集合的底层权限隔离
  你可以直接依赖Fabric原生的私有数据集合能力实现权限控制：提前为三个组织分别创建独立的私有数据集合，每个集合的写权限仅开放给所属组织，读权限开放给全部三个组织。所属组织的资产直接写入对应私有集合即可，不需要额外做键前缀校验，Fabric底层会自动拦截非授权组织的写请求。
  该方案不需要在链码中维护权限校验逻辑，避免链码逻辑漏洞导致的权限绕过问题，安全性更高；缺点是需要提前编写私有集合配置文件，后续新增组织需要更新集合配置。
• 方案4：链码动态可配置映射关系
  该方案是方案1的优化版本：预留仅通道管理员可调用的链码管理接口，支持动态新增、修改MSPID与组织编码的映射关系，映射数据存储在世界状态中。每次写操作校验时直接从世界状态读取最新的映射规则做匹配。
  该方案兼顾了实现简单的优势，同时支持动态调整组织映射，不需要每次新增组织都升级链码。

选型参考 #

如果组织架构长期固定，优先选择方案1，实现成本最低；如果组织会频繁新增调整，优先选择方案2，不需要迭代链码逻辑；如果对安全等级要求较高，不想在链码中维护权限校验逻辑，优先选择方案3。

内容的提问来源于stack exchange，提问作者IndoKnight