超级链学院微课堂 | 解锁超级链去中心化的权限系统

账户用于标识区块链网络中不同身份，而权限控制用于约束资源获取/更新等能力。

账户与权限系统就是指结合账户与权限控制两个要素，以账户为粒度对资源获取/更新等能力进行约束的一种系统要素。这里的账户包括普通账户以及合约账户。

区块链中常见的权限控制模型包括：基于ACL的权限控制模型、基于RBAC的权限控制模型以及基于ABAC的权限控制模型。

权限系统用于保障区块链网络中普通用户资产、合约用户资产的安全，只有拥有相应权限的用户才能访问/更新相应的数据，做到用户对自己的数据具有所有权。

常见的权限系统包括以联盟链为代表的MSP身份认证系统，以公链为代表的去中心化权限系统。

超级链其实已经实现了一套基于CA的权限控制系统，适用于联盟链应用场景。为了不仅适用于联盟链场景，同时适用于公链场景的需求，超级链还自研了一套基于ACL权限控制模型的去中心化的账户与权限系统。当初设计去中心化的账户与权限系统主要是为了公链场景下，支持智能合约数据资产的访问权限控制，保障合约资产数据的安全。

到目前为止，超级链中普通账户的权限认证也走去中心化权限系统，实现了权限认证的入口统一。目前，超级链自研的权限控制系统支持签名阈值策略、AK集签名策略等。

阈值策略是指每个用户持有一定权重的权限，当授权用户的总权重达到一定阈值时，表明鉴权通过。AK集策略是指集合中的AK之间的与以及集合之间的或逻辑表达式，来决定是否鉴权通过。

权限系统主要包括赋权与鉴权两个部分，这两个方法以系统合约的形式实现。在创建合约账户、设置合约账户权限列表、设置合约方法权限列表时，会分别调用赋权与鉴权这两类系统合约。

（1）超级链是如何实现赋权的？什么操作涉及到赋权？

赋权是指为合约账户或者合约方法设置访问权限列表，涉及到更新数据库数据。

一般在创建合约账户、设置合约账户权限列表、设置合约方法权限列表时都会涉及到赋权操作。

主要操作就是将一个<key,value>写入数据库，value通常为json格式的权限配置文件，而key就是合约账户的ID或者合约方法的ID。

赋权过程中，还会对参数进行有效性验证，比如合约账户命名规范是否合法，权限列表数量是否达到上限。

（2）超级链是如何实现鉴权的？什么操作涉及到鉴权？

鉴权是指验证一组签名是否具有足够权限执行特定的操作，比如调用某个合约的某个方法、普通用户转账等。

主要通过权限树模型进行权限认证流程，具体流程如下：

①根据实体的链上权限规则构造出权限树，并缓存每个非叶子节点的具体权限规则；

②按层遍历权限树，从最底层的节点进行鉴权；

a.如果节点是一个普通的address，直接判断是否满足实体的权限需求；

b.如果节点是一个合约账号，则递归判断其所有子节点是否获得授权；

③如果当前节点为根节点，则按照（2）中的鉴权规则判断，得到最终的鉴权结果；

通常，涉及到数据更新的地方都需要鉴权。

只需要正确填写Initiator以及AuthRequire以及对应的签名即可。

Initiator通常从data/keys/address文件中获取，AuthRequire通常从data/acl/addrs文件中获取。

我们以创建一个合约账户为例，说明如何使用。

step1: 准备一个acl配置文件，命名为newAccount.json，内容如下：

{
    "module_name": "xkernel",
    "method_name": "NewAccount",
    "args" : {
        "account_name": "1111111111111111",
        "acl": "{\"pm\": {\"rule\": 1,\"acceptValue\": 0.6},\"aksWeight\": {\"AK1\": 0.5,\"AK2\": 0.5}}"
    }
}

其中，module_name是指创建合约账户调用的系统合约名字;

method_name是指创建合约账户调用的系统合约方法名字；

account_name是指待创建的合约账户名字；

acl就是具体的权限配置规则，其中rule是指特定的权限模型，acceptValue是权限阈值，aksWeight是指具体的权限比重配置。

step2: 发起预执行，命令如下：

./xchain-cli multisig gen - -desc newAccount.json

step3: 对预执行结果进行签名，命令如下：

./xchain-cli multisig sign --output my.sign

step4: 将预执行结果以及签名组装成一个完整的交易并转发到网络，命令如下：

./xchain-cli multisig send my.sign my.sign

Fabric：

实现了一套基于MSP的权限认证系统，通过CA进行证书授权，基于ABAC进行权限访问控制。

只适用于联盟链场景，不适用于公链，且ABAC方式较复杂。

EOS：

基于RBAC实现一套账户权限系统，RBAC将角色与权限挂钩。

Ethereum：

权限控制都是靠每个合约自己在代码中定义。

Bitcoin：

没有权限控制。