如何在RestHeart中配置用户专属集合权限及security.yml规则

我来帮你梳理下RestHeart中这个权限配置的思路，结合你的需求一步步拆解：

RestHeart的权限控制是通过security.yml里的acl（访问控制列表）实现的，每个ACL规则由三部分组成：

• predicate：匹配请求的条件（相当于"什么时候触发这个规则"）
• permissions：允许执行的操作（比如GET、POST、ALL、DENY_ALL等）
• users/roles：规则应用的目标用户或角色

和MongoDB的静态角色绑定机制不同，RestHeart的predicates是动态请求匹配逻辑，能实现像"用户只能访问和自己ID同名的集合"这种灵活的关联权限。

假设你的用户存储在auth/users库中，创建用户userid时自动生成db/{userid}集合，下面是对应的security.yml权限配置：

acl:
  # 规则1：允许用户访问自己的同名集合（包括集合本身和集合内的所有文档）
  - predicate: path-template('/db/{userid}/*') and equals(%user.id, {userid})
    permissions: [GET, POST, PUT, PATCH, DELETE]
    users: ['*'] # 所有用户都适用，但predicate会过滤仅匹配用户ID和集合名一致的请求

  # 规则2：兜底禁止用户访问不属于自己的集合（排除管理员避免被限制）
  - predicate: path-starts-with('/db/')
    permissions: [DENY_ALL]
    users: ['*']
    except: ['admin']

关键规则解释： #

• path-template('/db/{userid}/*')：匹配所有以db/开头、后面跟着任意用户ID路径的请求（比如db/user1/、db/user1/doc123）
• equals(%user.id, {userid})：核心判断逻辑——%user.id是当前认证用户的ID，{userid}是从路径中提取的变量，只有两者相等时，这条规则才会生效
• 兜底的DENY_ALL规则要放在最后，RestHeart会按顺序匹配规则，前面的规则匹配成功后就不会再执行后续规则

Predicates就是"条件判断语句"，用来精准匹配你想要控制的请求场景，常用类型有这些：

1. 路径匹配类 #

• path-exact('/db/test')：精确匹配某个路径（比如只匹配db/test集合本身）
• path-template('/db/{coll}/{doc}')：带变量的路径模板，提取路径中的动态参数（比如集合名、文档ID）
• path-starts-with('/db/')：匹配以某个前缀开头的所有路径

2. 用户/角色匹配类 #

• equals(%user.id, 'john')：匹配特定ID的用户
• has-role('editor')：匹配拥有某个角色的用户
• is-authenticated()：匹配所有已认证的用户

3. 请求属性类 #

• method(GET)：匹配指定HTTP方法的请求
• equals(%request.body.author, %user.id)：匹配请求体中author字段等于当前用户ID的请求（用来实现文档级权限）

4. 逻辑组合类 #

用and/or/not组合多个条件，比如：
path-template('/db/blogs/{doc}') and has-role('editor') or equals(%user.id, {doc})

举个实际场景：让用户john能读写db/blogs集合，但只能修改自己创建的文档（文档中author字段等于john）：

acl:
  # 允许john读写blogs集合本身
  - predicate: path-exact('/db/blogs') and equals(%user.id, 'john')
    permissions: [GET, POST]
    users: ['john']

  # 允许john修改自己创建的文档
  - predicate: path-template('/db/blogs/{docid}') and equals(%user.id, 'john') and equals(%request.body.author, %user.id)
    permissions: [PUT, PATCH, DELETE]
    users: ['john']

  # 其他用户只能查看blogs集合，不能修改
  - predicate: path-exact('/db/blogs')
    permissions: [GET]
    users: ['*']

1. 规则顺序很重要：RestHeart按从上到下的顺序匹配ACL规则，具体规则要放在兜底规则前面
2. 确保认证配置正确：要能正常获取%user.id变量，比如启用Basic Auth或JWT认证
3. 测试验证：可以用RestHeart的/acl端点查看当前生效的规则，或者直接发送请求验证权限是否生效

内容的提问来源于stack exchange，提问作者konsul777