中心化的權(quán)限系統(tǒng)使用場(chǎng)景受限，同時(shí)增加了網(wǎng)絡(luò)運(yùn)維成本以及用戶使用成本。百度超級(jí)鏈基于ACL權(quán)限模型實(shí)現(xiàn)了一套去中心化的權(quán)限系統(tǒng)，同時(shí)保持著可擴(kuò)展、易用的特性，有助于開(kāi)發(fā)者快速上手。

本期超級(jí)鏈學(xué)院線上微課堂就帶你解鎖超級(jí)鏈去中心化的權(quán)限系統(tǒng)！明星講師超哥將主要圍繞以下幾點(diǎn)展開(kāi)：

1.權(quán)限系統(tǒng)在區(qū)塊鏈中有哪些作用？

2.超級(jí)鏈權(quán)限系統(tǒng)是如何構(gòu)建的？

3.用戶如何快速上手超級(jí)鏈權(quán)限系統(tǒng)？

4.使用過(guò)程有哪些常見(jiàn)問(wèn)題需要避免？

5.超級(jí)鏈權(quán)限系統(tǒng)與其他系統(tǒng)的異同點(diǎn)？

快來(lái)繼續(xù)往下看吧！

Q1：賬戶與權(quán)限系統(tǒng)的定義是什么？

賬戶用于標(biāo)識(shí)區(qū)塊鏈網(wǎng)絡(luò)中不同身份，而權(quán)限控制用于約束資源獲取/更新等能力。

賬戶與權(quán)限系統(tǒng)就是指結(jié)合賬戶與權(quán)限控制兩個(gè)要素，以賬戶為粒度對(duì)資源獲取/更新等能力進(jìn)行約束的一種系統(tǒng)要素。這里的賬戶包括普通賬戶以及合約賬戶。

Q2：賬戶與權(quán)限系統(tǒng)有哪些常見(jiàn)模型？

區(qū)塊鏈中常見(jiàn)的權(quán)限控制模型包括：基于ACL的權(quán)限控制模型、基于RBAC的權(quán)限控制模型以及基于ABAC的權(quán)限控制模型。

Q3：賬戶與權(quán)限系統(tǒng)在區(qū)塊鏈中有哪些作用？

權(quán)限系統(tǒng)用于保障區(qū)塊鏈網(wǎng)絡(luò)中普通用戶資產(chǎn)、合約用戶資產(chǎn)的安全，只有擁有相應(yīng)權(quán)限的用戶才能訪問(wèn)/更新相應(yīng)的數(shù)據(jù)，做到用戶對(duì)自己的數(shù)據(jù)具有所有權(quán)。

常見(jiàn)的權(quán)限系統(tǒng)包括以聯(lián)盟鏈為代表的MSP身份認(rèn)證系統(tǒng)，以公鏈為代表的去中心化權(quán)限系統(tǒng)。

Q4：超級(jí)鏈采用的哪種賬戶與權(quán)限模型呢？

超級(jí)鏈其實(shí)已經(jīng)實(shí)現(xiàn)了一套基于CA的權(quán)限控制系統(tǒng)，適用于聯(lián)盟鏈應(yīng)用場(chǎng)景。為了不僅適用于聯(lián)盟鏈場(chǎng)景，同時(shí)適用于公鏈場(chǎng)景的需求，超級(jí)鏈還自研了一套基于ACL權(quán)限控制模型的去中心化的賬戶與權(quán)限系統(tǒng)。當(dāng)初設(shè)計(jì)去中心化的賬戶與權(quán)限系統(tǒng)主要是為了公鏈場(chǎng)景下，支持智能合約數(shù)據(jù)資產(chǎn)的訪問(wèn)權(quán)限控制，保障合約資產(chǎn)數(shù)據(jù)的安全。

到目前為止，超級(jí)鏈中普通賬戶的權(quán)限認(rèn)證也走去中心化權(quán)限系統(tǒng)，實(shí)現(xiàn)了權(quán)限認(rèn)證的入口統(tǒng)一。目前，超級(jí)鏈自研的權(quán)限控制系統(tǒng)支持簽名閾值策略、AK集簽名策略等。

閾值策略是指每個(gè)用戶持有一定權(quán)重的權(quán)限，當(dāng)授權(quán)用戶的總權(quán)重達(dá)到一定閾值時(shí)，表明鑒權(quán)通過(guò)。AK集策略是指集合中的AK之間的與以及集合之間的或邏輯表達(dá)式，來(lái)決定是否鑒權(quán)通過(guò)。

Q5：超級(jí)鏈?zhǔn)侨绾螌?shí)現(xiàn)賬戶與權(quán)限系統(tǒng)的？

權(quán)限系統(tǒng)主要包括賦權(quán)與鑒權(quán)兩個(gè)部分，這兩個(gè)方法以系統(tǒng)合約的形式實(shí)現(xiàn)。在創(chuàng)建合約賬戶、設(shè)置合約賬戶權(quán)限列表、設(shè)置合約方法權(quán)限列表時(shí)，會(huì)分別調(diào)用賦權(quán)與鑒權(quán)這兩類系統(tǒng)合約。

（1）超級(jí)鏈?zhǔn)侨绾螌?shí)現(xiàn)賦權(quán)的？什么操作涉及到賦權(quán)？

賦權(quán)是指為合約賬戶或者合約方法設(shè)置訪問(wèn)權(quán)限列表，涉及到更新數(shù)據(jù)庫(kù)數(shù)據(jù)。

一般在創(chuàng)建合約賬戶、設(shè)置合約賬戶權(quán)限列表、設(shè)置合約方法權(quán)限列表時(shí)都會(huì)涉及到賦權(quán)操作。

主要操作就是將一個(gè)《key，value》寫入數(shù)據(jù)庫(kù)，value通常為json格式的權(quán)限配置文件，而key就是合約賬戶的ID或者合約方法的ID。

賦權(quán)過(guò)程中，還會(huì)對(duì)參數(shù)進(jìn)行有效性驗(yàn)證，比如合約賬戶命名規(guī)范是否合法，權(quán)限列表數(shù)量是否達(dá)到上限。

（2）超級(jí)鏈?zhǔn)侨绾螌?shí)現(xiàn)鑒權(quán)的？什么操作涉及到鑒權(quán)？

鑒權(quán)是指驗(yàn)證一組簽名是否具有足夠權(quán)限執(zhí)行特定的操作，比如調(diào)用某個(gè)合約的某個(gè)方法、普通用戶轉(zhuǎn)賬等。

主要通過(guò)權(quán)限樹(shù)模型進(jìn)行權(quán)限認(rèn)證流程，具體流程如下：

①根據(jù)實(shí)體的鏈上權(quán)限規(guī)則構(gòu)造出權(quán)限樹(shù)，并緩存每個(gè)非葉子節(jié)點(diǎn)的具體權(quán)限規(guī)則；

②按層遍歷權(quán)限樹(shù)，從最底層的節(jié)點(diǎn)進(jìn)行鑒權(quán)；

a.如果節(jié)點(diǎn)是一個(gè)普通的address，直接判斷是否滿足實(shí)體的權(quán)限需求；

b.如果節(jié)點(diǎn)是一個(gè)合約賬號(hào)，則遞歸判斷其所有子節(jié)點(diǎn)是否獲得授權(quán)；

③如果當(dāng)前節(jié)點(diǎn)為根節(jié)點(diǎn)，則按照（2）中的鑒權(quán)規(guī)則判斷，得到最終的鑒權(quán)結(jié)果；

通常，涉及到數(shù)據(jù)更新的地方都需要鑒權(quán)。

Q6：應(yīng)該如何使用超級(jí)鏈的賬戶與權(quán)限系統(tǒng)？

只需要正確填寫Initiator以及AuthRequire以及對(duì)應(yīng)的簽名即可。

IniTIator通常從data/keys/address文件中獲取，AuthRequire通常從data/acl/addrs文件中獲取。

我們以創(chuàng)建一個(gè)合約賬戶為例，說(shuō)明如何使用。

step1： 準(zhǔn)備一個(gè)acl配置文件，命名為newAccount.json，內(nèi)容如下：

{

“module_name”： “xkernel”，

“method_name”： “NewAccount”，

“args” ： {

“account_name”： “1111111111111111”，

“acl”： “{”pm“： {”rule“： 1，”acceptValue“： 0.6}，”aksWeight“： {”AK1“： 0.5，”AK2“： 0.5}}”

}

}

其中，module_name是指創(chuàng)建合約賬戶調(diào)用的系統(tǒng)合約名字;

method_name是指創(chuàng)建合約賬戶調(diào)用的系統(tǒng)合約方法名字；

account_name是指待創(chuàng)建的合約賬戶名字；

acl就是具體的權(quán)限配置規(guī)則，其中rule是指特定的權(quán)限模型，acceptValue是權(quán)限閾值，aksWeight是指具體的權(quán)限比重配置。

step2： 發(fā)起預(yù)執(zhí)行，命令如下：

。/xchain-cli mulTIsig gen - -desc newAccount.json

step3： 對(duì)預(yù)執(zhí)行結(jié)果進(jìn)行簽名，命令如下：

。/xchain-cli mulTIsig sign --output my.sign

step4： 將預(yù)執(zhí)行結(jié)果以及簽名組裝成一個(gè)完整的交易并轉(zhuǎn)發(fā)到網(wǎng)絡(luò)，命令如下：

。/xchain-cli mulTIsig send my.sign my.sign

Q7：超級(jí)鏈權(quán)限模型與其他模型有何異同點(diǎn)呢？

Fabric：

實(shí)現(xiàn)了一套基于MSP的權(quán)限認(rèn)證系統(tǒng)，通過(guò)CA進(jìn)行證書授權(quán)，基于ABAC進(jìn)行權(quán)限訪問(wèn)控制。

只適用于聯(lián)盟鏈場(chǎng)景，不適用于公鏈，且ABAC方式較復(fù)雜。

EOS：

基于RBAC實(shí)現(xiàn)一套賬戶權(quán)限系統(tǒng)，RBAC將角色與權(quán)限掛鉤。

Ethereum：

權(quán)限控制都是靠每個(gè)合約自己在代碼中定義。

Bitcoin：

沒(méi)有權(quán)限控制。

分享結(jié)束后，群里涌現(xiàn)出的精彩問(wèn)題，摘取部分分享給各位。

問(wèn)：超級(jí)鏈的權(quán)限模型是不是不使用CA證書？因?yàn)樵谖业睦斫庵?，CA是個(gè)中心化的東西。

答：我們支持CA模型，不過(guò)當(dāng)前開(kāi)源的版本沒(méi)有實(shí)現(xiàn)CA。我們的聯(lián)盟鏈解決方案包含了CA，但目前開(kāi)源版本的權(quán)限系統(tǒng)是獨(dú)立于CA存在的，是一種完全去中心化的權(quán)限系統(tǒng)。

問(wèn)：普通賬戶權(quán)限認(rèn)證的去中心化權(quán)限系統(tǒng)是在哪個(gè)版本升級(jí)了？普通用戶該如何使用權(quán)限系統(tǒng)呢？

答：普通賬戶的權(quán)限驗(yàn)證一直都是在鏈上完成的，后來(lái)將普通賬戶的權(quán)限驗(yàn)證接口統(tǒng)一到了權(quán)限系統(tǒng)中了。

普通用戶的權(quán)限驗(yàn)證就是公私鑰驗(yàn)證。

問(wèn)：物聯(lián)網(wǎng)的海量數(shù)據(jù)接入鏈會(huì)發(fā)生什么事？是否有具體有關(guān)充電樁場(chǎng)景應(yīng)用的案例呢？

答：這種場(chǎng)景對(duì)網(wǎng)絡(luò)的性能有要求。如果網(wǎng)絡(luò)性能不行，容易阻塞。

超級(jí)鏈之前恰好有過(guò)汽車充電樁數(shù)據(jù)接入?yún)^(qū)塊鏈的案例，在這個(gè)案例中，我們通過(guò)LCV輕量級(jí)節(jié)點(diǎn)植入到充電樁中，從源頭保證數(shù)據(jù)可信采集，并將實(shí)際充電結(jié)算數(shù)據(jù)上鏈，解決了充電樁服務(wù)商、電力部門和用戶之間的數(shù)據(jù)互信問(wèn)題。

問(wèn)：rule是指特定的權(quán)限模型，acceptValue是權(quán)限閾值，aksWeight是指具體的權(quán)限比重配置。那權(quán)限模型、閾值、權(quán)限比重配置，可以說(shuō)明一下這3個(gè)嗎？

答：權(quán)限模型是指使用什么樣的ACL規(guī)則模型來(lái)驗(yàn)證權(quán)限，可選的有閾值模型和AK集模型。如果選擇閾值模型，那么ACL中每個(gè)address可以配置一個(gè)權(quán)重，這個(gè)權(quán)重配置列表就是aksWeight，那么將所有簽名Address的權(quán)重累加，如果超過(guò)acceptValue這個(gè)閾值，就說(shuō)明權(quán)限驗(yàn)證成功。

問(wèn)：EOS實(shí)現(xiàn)RBAC將角色與權(quán)限掛鉤。這種是不是更適合聯(lián)盟鏈業(yè)務(wù)場(chǎng)景？超級(jí)鏈選擇的acl的優(yōu)勢(shì)是什么？

答：超級(jí)鏈的ACL并不是傳統(tǒng)意義的訪問(wèn)控制列表，而是一種基于賬戶列表的可擴(kuò)展的權(quán)限模型。舉例來(lái)說(shuō)，我們提供的AK集模型就可以支持賬戶集合之間的邏輯關(guān)系判斷。所以基于這種可擴(kuò)展的權(quán)限模型，用戶甚至可以定制出自己的RBAC模型，這種靈活性要比RBAC更高。

問(wèn)：由于企業(yè)內(nèi)部可能存在賬號(hào)系統(tǒng)中用戶信息被惡意泄露的問(wèn)題，超級(jí)鏈中的授權(quán)鑒權(quán)能否發(fā)展成為企業(yè)內(nèi)部賬號(hào)系統(tǒng)？或者說(shuō)未來(lái)有沒(méi)有可能打造一款類似產(chǎn)品，部署在企業(yè)內(nèi)部做私有鏈？

答：對(duì)于企業(yè)賬戶信息泄露的問(wèn)題，可以從兩個(gè)角度考慮，第一個(gè)角度是單個(gè)用戶密碼泄露導(dǎo)致的單個(gè)用戶信息泄露，這個(gè)在區(qū)塊鏈場(chǎng)景下如果用戶私鑰泄露也同樣會(huì)泄露個(gè)人信息；第二個(gè)角度是因?yàn)橛脩魯?shù)據(jù)中心化存儲(chǔ)帶來(lái)的中心化系統(tǒng)數(shù)據(jù)泄露問(wèn)題，這種情況通過(guò)區(qū)塊鏈可以將用戶信息作為個(gè)人隱私數(shù)據(jù)保留在個(gè)人賬戶中，典型的例如去中心化身份系統(tǒng)，可以做到不會(huì)因?yàn)橹行幕到y(tǒng)被攻破而泄露所有用戶的信息。

問(wèn)：有方法實(shí)現(xiàn)去中心化的身份認(rèn)證系統(tǒng)嗎？

答：DID去中心化身份系統(tǒng)有標(biāo)準(zhǔn)實(shí)現(xiàn)，我們也會(huì)在未來(lái)開(kāi)源我們自己的DID解決方案。

問(wèn)：Fabric中的CA認(rèn)證能不能拓展到其他場(chǎng)景呢？例如：登陸某一網(wǎng)站或者APP，通過(guò)掃描二維碼，進(jìn)行CA授權(quán)及權(quán)限劃分。

答：超級(jí)鏈不是Fabric，不過(guò)我們也有CA。除此之外，我們的權(quán)限系統(tǒng)是一種更靈活、可擴(kuò)展的權(quán)限模型。理論上，可以通過(guò)擴(kuò)展權(quán)限模型來(lái)支持外部驗(yàn)證系統(tǒng)，不過(guò)外部系統(tǒng)數(shù)據(jù)不在鏈上，當(dāng)外部用戶發(fā)生變化時(shí)，鏈上并無(wú)法及時(shí)得知，有可能導(dǎo)致數(shù)據(jù)不一致問(wèn)題。