在当今复杂的Web应用中，精细化的权限管理是保障系统安全的关键环节。PHP-Casbin 作为Casbin生态的PHP实现，凭借其灵活的模型支持和强大的扩展能力，已成为PHP开发者实现访问控制的首选工具。

PHP-Casbin 基于PERM（Policy/Effect/Request/Matcher）模型，抽象出通用的访问控制框架。

• 模型灵活‌：通过配置文件支持自定义访问控制模型，可动态调整权限策略。
• 多模型支持‌：内置 超级用户 管理、角色继承等功能，支持多层权限控制，支持ACL、RBAC、ABAC等数十种权限模型。 ‌
• 轻量化设计‌：默认仅处理授权逻辑，需配合其他组件完成身份认证（如OAuth）。

Casbin 是一个高效强大的开源访问控制框架，它支持 ACL、RBAC、ABAC 等多种模型。

Model，即模型，是 Casbin 的一个重要组成部分，模型的定义简单而复杂，且充满学问。Model 的作用，是对权限模型的定义，例如：acl、rbac、abac 等权限模型。

优先级模型，所谓优先级，是指按一定的顺序加载策略。

优先级高的策略先加载，先加载的策略具有较高的优先级。

PHP-Casbin 目前支持三种模式：隐式优先顺序加载策略、显示优先顺序加载策略、基于角色和用户的层级关系加载策略。

分布式服务，是将多个具有不同或相同功能的服务分散在不同的服务器上，对外提供服务。

那么在分布式服务中，使用 PHP-Casbin 作为权限控制时，不同服务器上的服务的策略要保证是同步的。这里我们主要探讨常驻内存的 PHP 服务，在常驻内存的服务中，PHP-Casbin 一般是单例模式，所有的策略都会加载到内存，性能出色。

PHP-FPM 下每次都重新初始化 Enforcer 并重新加载策略，不需要做额外的策略同步。

多租户（multi-tenancy）是一种软件架构技术，是实现在多租户的环境下共用相同的系统或程序组件，并且保证各用户间的数据隔离，也可称作域租户。

PHP-Casbin 不仅提供了全局的RBAC的权限模型，而且还支持特定域的权限模型。特定租户/域的角色意味着当用户在不同的租户/域中时，用户可以拥有不同的角色，亦拥有不同的权限策略。在大型项目中，特别是在像SaaS PaaS这种云服务中，不同的租户需要拥有独立的权限控制，这就非常有用。

这里我以一个多商户的电商平台为例，电商平台的商户就是租户，每个商户有自己的管理人员，可以分配不同的角色，定义自己的权限。这些商户间的数据在逻辑上是完全隔离的，但他们共享这个电商平台的其他资源。

PHP-Casbin 是一个非常流行的权限控制框架，支持ACL RBAC ABAC 等权限控制模型。

它使用 Matcher 中配置的表达式来做权限决策，不仅提供了非常多的内置函数，而且还可以在Matcher中指定自定义函数。

如果你的项目还有没有引入Casbin依赖，则需要安装一下：

PHP-Casbin 是一个强大的、高效的开源访问控制框架，它支持基于各种访问控制模型的权限管理。

Think-Casbin 是一个专为ThinkPHP5.1定制的Casbin的扩展包，使开发者更便捷的在thinkphp项目中使用Casbin。

PHP-Casbin 是一个强大的、高效的开源访问控制框架，它支持基于各种访问控制模型的权限管理。

Slim 是一个PHP微框架，可帮助您快速编写简单但功能强大的Web应用程序和API。

Casbin 可用作 Slim Framework 中的一个授权中间件。

PHP-Casbin 是一个强大的、高效的开源访问控制框架，它支持基于各种访问控制模型的权限管理。

ABAC是基于属性的访问控制，可以使用主体、客体或动作的属性，而不是字符串本身来控制访问。

ABAC的官方实例如下:

[request_definition]
r = sub, obj, act

[policy_definition]
p = sub, obj, act

[policy_effect]
e = some(where (p.eft == allow))

[matchers]
m = r.sub == r.obj.owner

PHP-Casbin 是一个强大的、高效的开源访问控制框架，它支持基于各种访问控制模型的权限管理。

这里使用官方提供的数据库适配器扩展：Database adapter.

通过composer安装：

在Casbin中，适配器(adapter，Casbin的中间件)实现了policy规则写入持久层的细节。 Casbin的用户可以调用adapter的loadPolicy()方法从持久层中加载policy规则， 同样也可以调用savePolicy()方法将Policy规则保存到持久层中。 为了保持代码轻量, 我们没有将adapter的代码放在主库中。

文件适配器，是将Policy策略存储在.csv的文件中：

$e = new Enforcer("path/to/model.conf", "path/to/policy.csv");

也可以先初始化Adapter：

Model的加载方法主要有三种：

• 从文件读取
• 从字符串加载
• 动态添加

从文件应该说是最常用的一种方式，只需要在初始化Casbin决策器的时候传入文件地址即可：

// 初始化 model
$m = Enforcer::newModel("path/to/model.conf", "");
// 创建一个 enforcer。
$e = new Enforcer($m);

Casbin支持的model：https://github.com/php-casbin/php-casbin/blob/master/README_CN.md#%E6%94%AF%E6%8C%81%E7%9A%84Models

• Model CONF 至少应包含四个部分: [request_definition], [policy_definition], [policy_effect], [matchers]。

• 如果 model 使用 RBAC, 还需要添加[role_definition]部分。

• Model CONF 可以包含注释。注释以 # 开头，# 将注释整行。

与 policy 不同，model 只能加载，不能保存。 因为我们认为 model 不是动态组件，不应该在运行时进行修改，所以我们没有实现一个 API 来将 model 保存到存储中。

在 Casbin 中, 访问控制模型被抽象为基于 PERM (Policy, Effect, Request, Matcher) 的一个文件。 因此，切换或升级项目的授权机制与修改配置一样简单。 您可以通过组合可用的模型来定制您自己的访问控制模型。 例如，您可以在一个model中获得RBAC角色和ABAC属性，并共享一组policy规则。

Casbin中最基本、最简单的model是ACL。ACL中的Model CONF为：

# Request definition
[request_definition]
r = sub, obj, act

# Policy definition
[policy_definition]
p = sub, obj, act

# Policy effect
[policy_effect]
e = some(where (p.eft == allow))

# Matchers
[matchers]
m = r.sub == p.sub && r.obj == p.obj && r.act == p.act

ACL Model的示例Policy如下:

Casbin中最核心的三个概念：Model, Policy, Enforcer。

Model就是一个CONF文件，基于PERM metamodel (Policy, Effect, Request, Matchers)。

Policy是动态存储policy rules的，可以存在.csv文件或数据库中。