Hyperledger Fabric 如何实现仅数据所有者可访问私有数据

默认的私有数据集合仅支持组织粒度的访问控制，要实现单用户级别的权限隔离，需要结合集合配置和链码逻辑两层控制，具体操作如下：

1. 私有数据集合基础配置 #

首先配置集合规则，先把访问权限收敛到所有者所属组织范围内，避免其他组织节点获取私有数据：

• 编写集合定义文件collections_config.json，policy字段仅配置所有者所属组织的成员权限，开启memberOnlyRead和memberOnlyWrite参数，限制只有集合指定组织的成员可以读写集合数据

[
  {
    "name": "userPrivateData",
    "policy": "OR('Org1MSP.member')",
    "requiredPeerCount": 1,
    "maxPeerCount": 3,
    "blockToLive": 0,
    "memberOnlyRead": true,
    "memberOnlyWrite": true,
    "endorsementPolicy": "OR('Org1MSP.peer')"
  }
]

这一步只能实现组织级别的权限隔离，还需要在链码层做身份校验，避免同组织其他用户越权访问。

2. 链码层用户身份校验 #

这是实现单用户级别权限控制的核心步骤，需要在链码的读写逻辑中嵌入身份校验规则：

• 引入Fabric官方的cid（Client Identity）库，读取提交请求用户的唯一身份标识，通常可以用证书的CN字段、用户全局ID或者自定义证书属性作为唯一标识
• 写入私有数据时，把所有者的唯一身份标识存入私有数据的固定字段（比如owner字段），或者作为私有数据键的前缀
• 读取/修改私有数据前，先校验当前请求用户的身份标识和数据存储的所有者标识是否完全匹配，不匹配直接返回权限拒绝错误

示例链码核心逻辑（Go语言为例）：

// 写入私有数据逻辑
func (s *SmartContract) AddPrivateData(ctx contractapi.TransactionContextInterface, dataKey string, content string) error {
    // 获取当前请求用户的唯一ID
    userID, err := cid.GetID(ctx.GetStub())
    if err != nil {
        return fmt.Errorf("get client identity failed: %v", err)
    }
    // 构造带所有者标识的私有数据
    privateData := map[string]interface{}{
        "owner": userID,
        "content": content,
    }
    dataBytes, _ := json.Marshal(privateData)
    // 写入私有数据集合
    return ctx.GetStub().PutPrivateData("userPrivateData", dataKey, dataBytes)
}

// 读取私有数据逻辑
func (s *SmartContract) GetPrivateData(ctx contractapi.TransactionContextInterface, dataKey string) (interface{}, error) {
    userID, err := cid.GetID(ctx.GetStub())
    if err != nil {
        return nil, fmt.Errorf("get client identity failed: %v", err)
    }
    dataBytes, err := ctx.GetStub().GetPrivateData("userPrivateData", dataKey)
    if err != nil || dataBytes == nil {
        return nil, fmt.Errorf("data not found")
    }
    var res map[string]interface{}
    json.Unmarshal(dataBytes, &res)
    // 校验所有者身份，不匹配直接拒绝
    if res["owner"] != userID {
        return nil, fmt.Errorf("permission denied: you are not the data owner")
    }
    return res["content"], nil
}

3. 可选优化 #

如果需要灵活的权限分配，可以在用户注册证书时添加自定义属性，链码通过cid.GetAttributeValue()读取属性做校验，也可以在私有数据中添加权限列表字段，支持所有者主动授权其他用户访问数据。

内容的提问来源于stack exchange，提问作者hamza bht