129 lines
3.7 KiB
Markdown
129 lines
3.7 KiB
Markdown
# 中台执行步骤与安全闸门
|
||
|
||
面向 go-zero（或等价中台）实现 `POST /api/v1/apps/{slug}:publish`。
|
||
|
||
## 1. 入口校验
|
||
|
||
1. 鉴权：用户已登录，具备 `app.admin` 或「创建应用」权限
|
||
2. 限流：每租户每小时发布次数上限（建议 ≤ 20）
|
||
3. Body 必须是完整 `AppBlueprint`
|
||
4. 用 `app-blueprint.schema.json` 校验；失败直接 400
|
||
5. `meta.slug` 与 path 中 slug 一致；租户内唯一
|
||
|
||
## 2. 标识符白名单（防 SQL 注入）
|
||
|
||
仅允许匹配：
|
||
|
||
```text
|
||
^[a-z][a-z0-9_]{1,47}$
|
||
```
|
||
|
||
校验对象：`slug`、`entity.name/table`、所有 `field.name`、`index.name`
|
||
拒绝：大小写混用、连字符、空格、引号、注释符、SQL 关键字作表名（建议黑名单：`select/drop/user/...`）
|
||
|
||
## 3. 分配存储（用户不可指定 DSN）
|
||
|
||
| storage.mode | 行为 |
|
||
|--------------|------|
|
||
| `schema_per_app` | 平台在共享实例创建 `schema_name`（可忽略 AI 填的名字，按 `app_{tenant}_{slug}` 重写） |
|
||
| `database_per_app` | 平台开通独立库，凭证写入 KMS/密钥服务 |
|
||
|
||
落库元数据示例：
|
||
|
||
```text
|
||
tenant_apps(app_id, tenant_id, slug, schema_name, engine, blueprint_json, status, created_at)
|
||
tenant_app_entities(...)
|
||
tenant_app_fields(...)
|
||
tenant_app_apis(...)
|
||
```
|
||
|
||
## 4. 生成并执行 DDL（参数化/白名单拼接）
|
||
|
||
伪代码原则：
|
||
|
||
- 只拼已经过白名单的标识符
|
||
- 字段类型映射用固定字典，禁止把 AI 的 type 字符串直接塞进 SQL
|
||
|
||
类型映射建议（Postgres）：
|
||
|
||
| blueprint type | SQL |
|
||
|----------------|-----|
|
||
| string | VARCHAR(n) |
|
||
| text | TEXT |
|
||
| int | INTEGER |
|
||
| bigint | BIGINT |
|
||
| decimal | NUMERIC(p,s) |
|
||
| boolean | BOOLEAN |
|
||
| date | DATE |
|
||
| datetime | TIMESTAMPTZ |
|
||
| enum | VARCHAR(n) + CHECK |
|
||
| json | JSONB |
|
||
| file_ref | VARCHAR(512) |
|
||
|
||
每个表强制附加系统列（即使蓝图未写）：
|
||
|
||
```sql
|
||
tenant_id BIGINT NOT NULL,
|
||
created_by BIGINT,
|
||
created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
|
||
updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
|
||
```
|
||
|
||
`row_policies=tenant_isolated` → 所有查询自动 `AND tenant_id = :current_tenant`。
|
||
|
||
## 5. 注册动态 API
|
||
|
||
读取 `apis.resources[]`：
|
||
|
||
- 在网关/服务路由表注册 path
|
||
- `operations` 决定开放方法
|
||
- `allowed_filters/sorts` 写入配置；运行时拒绝未声明字段
|
||
|
||
禁止：按请求参数动态选物理表名。
|
||
允许：`app_slug + resource` → 元数据查出 `schema.table`。
|
||
|
||
## 6. 种子数据
|
||
|
||
若 `seed.import_excel=true`：
|
||
|
||
1. 从 `meta.source.excel_ref` 拉文件
|
||
2. 按 `field.from_excel.column` 映射
|
||
3. 行数 ≤ `seed.max_rows`
|
||
4. 批量插入，单行失败记入 errors，不中断整单（或按策略 fail-fast）
|
||
|
||
## 7. 发布事务与回滚
|
||
|
||
建议状态机：
|
||
|
||
```text
|
||
draft → validating → provisioning → importing → published
|
||
↘ failed（保留草稿，DDL 尽量事务/可回滚）
|
||
```
|
||
|
||
失败时：
|
||
|
||
- schema 已建：标记 `failed`，提供 `DELETE app` 清理
|
||
- 写审计：谁、何时、哪份 blueprint hash、结果
|
||
|
||
## 8. 运行时读路径（列表页）
|
||
|
||
```text
|
||
Auth → 解析 tenant → 查 app 元数据 → 校验 resource
|
||
→ 校验 filter/sort 白名单 → 组装 SELECT
|
||
→ 强制 tenant_id 条件 → 分页返回
|
||
```
|
||
|
||
前端只读 blueprint 渲染，不信任客户端传来的「表名/SQL」。
|
||
|
||
## 9. 最小落地服务拆分
|
||
|
||
| 服务 | 职责 |
|
||
|------|------|
|
||
| `ai-generate` | 素材 → draft blueprint |
|
||
| `app-meta` | 蓝图存储、校验、发布状态 |
|
||
| `schema-runner` | DDL / 迁移 / 清理 |
|
||
| `dynamic-crud` | 统一 CRUD / import / export |
|
||
| `gateway` | 鉴权、限流、WAF、路由 |
|
||
|
||
首版可先 2 个进程：`ai-generate(FastAPI)` + `platform(go-zero 含 meta/runner/crud)`。
|