『自分のデータだけ見せたい！』を叶える──Laravel × Casbin で複雑権限をスッキリ解きほぐす 25 分

by AkitoTsukahara

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Copyright© M&Aクラウド Casbinの基本4ブロック 26 1. request_definition （r = sub, obj, act ） a. リクエスト引数の並びを宣⾔ 2. policy_definition （p = sub, obj, act） a. ポリシー⾏の列順を宣⾔ 3. role_definition （g = _, _） a. ロール継承 (RBAC) を有効化 4. matcher （m = g(r.sub,p.sub) && r.obj==p.obj && r.act==p.act） a. r.* と p.* をどう⽐べるかを論理式で定義

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Copyright© M&Aクラウド Casbinモデル設計：最初の挑戦とシンプルな過ち 29 さあ、実装していこう！ ● 要件は「サブジェクト(誰が)」「オブジェクト(何を)」「アクション(どうする)」に加え、「スコープ(どの範囲で)」という重要な概念がありました ● 当初はCasbinの基本である3要素 (sub, obj, act) を維持するため、「オブジェクト」と「スコープ」を⼀体化して obj として扱う、シンプルな設計を試みましたが。。。

Slide 30

Slide 30 text

Copyright© M&Aクラウド Casbinモデル設計：最初の挑戦とシンプルな過ち 30 ▼ 最初の設計案（失敗例） ● オブジェクト Company + スコープ ALL ○ Casbinの obj には 'Company_ALL' という⽂字列を渡す。 ● オブジェクト Company + スコープ OWN ○ Casbinの obj には 'Company_OWN' という⽂字列を渡す。

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Slide 41

Slide 41 text

Copyright© M&Aクラウド権限チェック処理の責務分離とテスト容易性の向上 41 解決策：権限チェック処理の責務分解 ● Middlewareは「リクエストの受付」「Checkerへの処理委譲」に専念 ● PermissionChecker: ○ オブジェクトの属性を解釈し、Casbinへの問い合わせ内容を組み⽴てる司令塔 ● EnforcerAdapter: ○ Casbinのenforceメソッドを呼び出すだけの、シンプルな橋渡し役

Slide 42

Slide 42 text

Slide 43

Slide 43 text

Slide 44

Slide 44 text

Slide 45

Slide 45 text

Slide 46

Slide 46 text

Slide 47

Slide 47 text

Slide 48

Slide 48 text

Copyright© M&Aクラウド解決策: オブジェクト固有の「権限判定ロジック」をカプセル化 48 そこで「ObjectIdentiﬁer」という新しい責務を導⼊しました。 ■ ObjectIdentiﬁerの役割オブジェクトに関する情報を収集し、その属性に応じて適切な権限スコープ（例: ALL, OWN）を決定するクラスです。オブジェクト固有の複雑なロジックを、このクラスにすべて閉じ込めます。

Slide 49

Slide 49 text

Slide 50

Slide 50 text

Slide 51

Slide 51 text

Slide 52

Slide 52 text

Slide 53

Slide 53 text

Slide 54

Slide 54 text

Slide 55

Slide 55 text

Slide 56

Slide 56 text

Slide 57

Slide 57 text

Slide 58

Slide 58 text

Slide 59

Slide 59 text

Slide 60

Slide 60 text

Slide 61

Slide 61 text

Slide 62

Slide 62 text

Slide 63

Slide 63 text

Slide 64

Slide 64 text

Copyright© M&Aクラウド複雑な権限を「スッキリ解きほぐす」ために 64 本⽇は、20万近い組み合わせパターンから始まった、複雑な権限要件という「絡まった⽷」に、私たちがどう⽴ち向かったかをお話ししました。この⽷を「スッキリ解きほぐす」ための答えは、魔法のような特効薬ではありませんでした。それは、「徹底的に『分ける』」ことと「正しく『繋ぐ』」こと。この2つの地道な原則の積み重ねにありました。

Slide 65

Slide 65 text

Copyright© M&Aクラウド Step 1：徹底的に「分けて」考える 65 巨⼤で捉えどころのない問題を、扱えるサイズに「分け」ていきました。 ● 要件を「分けて」可視化する ○ 権限要件を5軸に分け、課題の⼤きさを数値で明確に ● モデルを「分けて」シンプルにする ○ 当初⼀体化して失敗した「オブジェクト」と「スコープ」を分離 ● 問題発覚時の迅速な⽅向転換 ○ 肥⼤化したMiddlewareを「⾨番」「司令塔」「専⾨家」に分け、各クラスが単⼀責務を持つように設計

Slide 66

Slide 66 text

Copyright© M&Aクラウド Step 2：正しく「繋いで」動かす 66 次に、分離したコンポーネントを、あるべき姿に「繋ぎ」合わせました。 ● 強⼒なエンジンで「繋ぐ」 ○ 分離した権限ルールを、Casbinというエンジンで繋ぎ、判定ロジックのコアをシンプルに保ちました ● 疎なインターフェースで「繋ぐ」 ○ ObjectIdentiﬁerなど、各クラスをインターフェースで疎に繋ぐことで、拡張性とテスト容易性を両⽴ ● Contextでレイヤー間を「繋ぐ」 ○ PermissionContextを導⼊し、MiddlewareとRepositoryという異なる関⼼事を疎に繋ぎ、DBへの権限フィルター移譲を実現

Slide 67

Slide 67 text

Slide 68

Slide 68 text

Slide 69

Slide 69 text

Slide 70

Slide 70 text

Slide 71

Slide 71 text

Copyright© M&Aクラウド Q: ⽐較検討したライブラリは他には何があったのか？ 71 ライブラリモデル対応主な対象⾔語⻑所短所適合度 Casbin ACL / RBAC / ABAC / 任意拡張 Go (core) 他に PHP, Java, Node など 10 以上マルチモデル‧軽量組込‧⾼性能；PHP バインディングあり DSL 構⽂が独特で学習コストやや⾼ ◎（採⽤） Laravel Policy & Gate ACL（基本的なアクセス制御） PHP / Laravel 標準機能追加パッケージ不要 ‧学習コスト低 ‧Eloquentモデルとの親和性⾼複雑なRBAC/ABAC不可‧階層的権限管理困難‧⼤規模権限管理には機能不⾜ △（基本的な権限管理のみ） Spatie laravel-permission RBAC（ロール＋パーミッション） PHP / Laravel Laravel Gate との親和性∕学習コスト低 ABAC不可‧階層/属性表現が弱い ○（Laravel 単体なら⼿軽） Bouncer RBAC + きめ細かい "ability" 概念 PHP / Laravel 否定権限・モデル単位許可など表現力高 ABAC不可・階層/属性表現が弱い ○（Laravel 単体なら手軽） Oso / Oso Cloud RBAC / ABAC / ReBAC（Polar DSL） Node, Go, Rust, Python, Java ほか "Polar" DSL が可読性高い・クラウド/ローカル混在可 PHP バインディング無し、SaaS 料金高め △（言語制約）

Slide 72

Slide 72 text

Slide 73

Slide 73 text

Copyright© M&Aクラウド Q: キャッシュ戦略は？ 73 ● バックエンドでは、利⽤していない。 ○ 権限機能はセキュリティが重要であり、キャッシュは正しく実装しないと漏洩のリスクが伴うため、現時点では利⽤していない ○ パフォーマンス最適化のためにいずれ利⽤する可能性はある ● フロントエンドでは、利⽤している。 ○ コンポーネントの表⽰判定のために、権限データを毎回バックエンドにリクエストしていては、パフォーマンスに影響するため ○ もし意図しないコンポーネントを表⽰してしまっても、バックエンドで防ぐことができるので、リスクは少ない

Slide 74

Slide 74 text

Slide 75

Slide 75 text

Copyright© M&Aクラウド Q: フロントエンドでの権限制御は？ 75 解決策：権限APIとクライアントサイドでの制御 ● 特定の操作（「編集」「削除」「新規作成」など）に対して現在のユーザーが権限を持っているか否かを返すAPIエンドポイントを⽤意 ● フロントエンド（SvelteKitなど）がこのAPIを呼び出し、その結果に基づいてUI要素（ボタン、メニュー、フォームフィールドなど）を動的に⾮表⽰化、⾮アクティブ化、または表⽰する