权限

Oak 的权限模型，和很多传统系统里的“菜单权限 / 路由权限 / 角色字符串判断”不是一回事。

它的设计核心是：

权限不是一堆散落在代码里的 if (role === 'admin')，而是一套可以被数据表达、被路径推导、被对象关系复用的规则体系。

这也是 Oak 最值得认真理解的一部分。

Oak 权限体系里的几个核心实体

`Relation`

oak-domain/src/entities/Relation.ts

它表示某个对象上的“关系名”，例如：

某个 system 上的 admin
某个 order 上的 owner
某个 project 上的 member

也就是说，Relation 不是全局角色，而是某个对象上下文中的关系。

`UserRelation`

oak-domain/src/entities/UserRelation.ts

它表示“某个用户，在某个对象上，拥有某个 relation”。

这是 Oak 权限真正落到用户身上的那一层。

`Path`

oak-domain/src/entities/Path.ts

它定义了权限如何沿对象关系传播。最关键的字段是：

sourceEntity
destEntity
value
recursive

例如，如果一个 application 通过 system 外键指向 system，那么从 system 权限传播到 application 的路径就可以写成 system。

`ActionAuth`

oak-domain/src/entities/ActionAuth.ts

它定义：

某种 relation
沿某条 path
可以对目标对象执行哪些 deActions

这就是“某类关系能做什么事”的核心授权数据。

`RelationAuth`

oak-domain/src/entities/RelationAuth.ts

它定义：

某种 sourceRelation
沿某条 path
能否去授予或移除某个 destRelation

也就是说，ActionAuth 解决“能操作什么”，而 RelationAuth 解决“能给别人授什么权”。

一个最容易理解的例子

假设有两个对象：

system
application

并且 application.systemId -> system.id。

那么 Oak 中一个很自然的权限表达方式就是：

在某个 system 上定义 admin relation；
通过 UserRelation 把用户绑定到这个 system 的 admin；
定义一条 Path，表示从 application 回到 system 的路径是 system；
定义 ActionAuth，说明 system.admin 可以沿着 system 这条路径，对 application 执行 select/update/...。

这样，权限就不是写死在某个页面按钮上，而是变成了“对象关系 + 路径 + 动作”的数据规则。

运行时是谁在做权限判断

真正的权限判定核心在 oak-domain/src/store/RelationAuth.ts。

AppLoader 在创建 dbStore 时，会把下面几类项目配置传进去：

authDeduceRelationMap
selectFreeEntities
updateFreeDict

后续无论是前端还是后端，Oak 都会尽量通过这一套关系授权体系去推导：

当前用户能否 select
当前用户能否 create/update/remove
级联操作中的子对象权限是否成立

`authDeduceRelationMap` 是做什么的

有些对象本身并不需要单独定义权限，因为它的权限完全可以从某个父对象推导出来。

这时就可以在项目的 src/configuration/relation.ts 中配置：

export const authDeduceRelationMap = {
};

如果某个实体的权限可以通过某个外键直接 deduce，Oak 就不必再单独为它搜索完整的 relation 路径。这样既减少配置，也减少权限判断开销。

框架内部还会自动补上一条：

modi: 'entity'

也就是说，modi 的权限默认就会从其父实体推导。

`selectFreeEntities` 和 `updateFreeDict`

这两个配置是 Oak 权限体系中很实用的“开口子”能力。

`selectFreeEntities`

表示这些实体允许自由查询，不必经过完整的 relation auth 推导。

例如 bm-smart/src/configuration/relation.ts 中，就把 manufacture、product、oauthProvider、tag、community、banner、post、reply、answer 等对象列进了 selectFreeEntities。