simple-admin-core
simple-admin-core copied to clipboard
suyuan32
建议贴 | Suggestions
大家可以在该贴提各种建议，点赞高的建议优先处理哦, 注意 simple-admin-core 主要负责所有其他微服务的鉴权、认证等操作，类似于 SSO 单点登录，以及后台的一些基本配置功能，其他拓展功能建议新增 API 服务，类似于 simple-admin-file。
目前规划
- [ ] #6
- [ ] #7
- [ ] #8
- [x] #9
- [x] #10
- [x] #11
- [x] #13
- [x] #15
- [x] #21
- [x] #44
- [x] docker-compose 一键启动demo
- [x] uuid 代码生成支持
- [x] #57
- [x] #59
- [x] 单用户多角色
- [ ] 事件机制
- [x] 在线定时任务
docker-compose 一键启动demo
@carr0t2 https://simpleadmin.ryansu.pro/#/simple-admin/zh-cn/docs/all_in_one
感谢
docker-compose 一键启动demo
@carr0t2 https://simpleadmin.ryansu.pro/#/simple-admin/zh-cn/docs/all_in_one
大佬 数据表文件在哪呢
https://doc.ryansu.pro/zh/guide/basic-config/env_setting.html @yuzihui
创建好了
@suyuan32 现在simple-admin关于api权限的控制感觉是不是有点割裂，api的权限控制在后台管理(simple-admin的逻辑)，但是api是否允许匿名访问是在.api文件中声明的(go-zero的逻辑)。另外一个问题是，如果允许api匿名访问，就是不在api文件中设置jwt: Auth，这样就不会经过go-zero中的Authorize中间件，这样的话就不会解析jwt中的内容到上下文，如果一个接口同时允许匿名访问和携带token访问的话，目前看来只能在logic代码中最解析jwt的内容，不太方便。不知道simple-admin有没有计划废弃掉go-zero的jwt管理，统一到自己的中间件上
@suyuan32 另外建议增加服务间rpc的安全机制，客户端身份验证或者用户身份验证，不然的话只要rpc端口能访问通，是不是就可以通过rpc获得任何权限了。
@suyuan32 现在simple-admin关于api权限的控制感觉是不是有点割裂，api的权限控制在后台管理(simple-admin的逻辑)，但是api是否允许匿名访问是在.api文件中声明的(go-zero的逻辑)。另外一个问题是，如果允许api匿名访问，就是不在api文件中设置jwt: Auth，这样就不会经过go-zero中的Authorize中间件，这样的话就不会解析jwt中的内容到上下文，如果一个接口同时允许匿名访问和携带token访问的话，目前看来只能在logic代码中最解析jwt的内容，不太方便。不知道simple-admin有没有计划废弃掉go-zero的jwt管理，统一到自己的中间件上
如果一个接口同时允许匿名访问和携带token访问 这种情况不多吧，不知道simple-admin有没有计划废弃掉go-zero的jwt管理，统一到自己的中间件上 没计划
@suyuan32 另外建议增加服务间rpc的安全机制，客户端身份验证或者用户身份验证，不然的话只要rpc端口能访问通，是不是就可以通过rpc获得任何权限了。
看 go zero 文档
@suyuan32 现在simple-admin关于api权限的控制感觉是不是有点割裂，api的权限控制在后台管理(simple-admin的逻辑)，但是api是否允许匿名访问是在.api文件中声明的(go-zero的逻辑)。另外一个问题是，如果允许api匿名访问，就是不在api文件中设置jwt: Auth，这样就不会经过go-zero中的Authorize中间件，这样的话就不会解析jwt中的内容到上下文，如果一个接口同时允许匿名访问和携带token访问的话，目前看来只能在logic代码中最解析jwt的内容，不太方便。不知道simple-admin有没有计划废弃掉go-zero的jwt管理，统一到自己的中间件上
如果一个接口同时允许匿名访问和携带token访问这种情况不多吧，不知道simple-admin有没有计划废弃掉go-zero的jwt管理，统一到自己的中间件上没计划
看是什么业务场景了，如果只做纯后台的话不多。如果toc的话，场景还是很多的，同样一个接口，如果匿名访问的话直接响应默认数据，如果带了token给用户响应定制化数据。或者是浏览之类的接口，匿名访问不处理，带token的话保存浏览记录后面给用户推荐。而且匿名访问控制在代码里，api接口权限控制放在后台，如果是不同的角色维护权限，比如运营之类，还是很割裂的
