建议贴 | Suggestions

[suyuan32]

大家可以在该贴提各种建议，点赞高的建议优先处理哦, 注意 simple-admin-core 主要负责所有其他微服务的鉴权、认证等操作，类似于 SSO 单点登录，以及后台的一些基本配置功能，其他拓展功能建议新增 API 服务，类似于 simple-admin-file。

目前规划

• 消息中心， 通过 RocketMQ 进行消息的消费，实现邮件和短信的发送 #6
• 支付中心，提供微信，支付宝，paypal等支付接口 #7
• 前端界面， 目前只有后台界面，未来提供多种前端管理，主要考虑高并发大流量的业务，例如论坛社区等，可能会基于 uniapp 或者 flutter进行开发。 #8
• 字典功能 #9
• oauth2.0 登录 #10
• JWT 黑名单 #11
• 定时任务 #13
• k8s支持 #15
• 服务监控 #21
• CRUD代码生成 #44
• docker-compose 一键启动demo
• uuid 代码生成支持
• multiple group #57
• proto文件拆分合并 #59
• 单用户多角色
• 事件机制
• 在线定时任务

[micross]

建议添加多租户支持

[coverthesea]

建议，从数据库生成ent代码支持索引

[aac3476]

@suyuan32 现在simple-admin关于api权限的控制感觉是不是有点割裂，api的权限控制在后台管理(simple-admin的逻辑)，但是api是否允许匿名访问是在.api文件中声明的(go-zero的逻辑)。另外一个问题是，如果允许api匿名访问，就是不在api文件中设置jwt: Auth，这样就不会经过go-zero中的Authorize中间件，这样的话就不会解析jwt中的内容到上下文，如果一个接口同时允许匿名访问和携带token访问的话，目前看来只能在logic代码中最解析jwt的内容，不太方便。不知道simple-admin有没有计划废弃掉go-zero的jwt管理，统一到自己的中间件上

[aac3476]

@suyuan32 另外建议增加服务间rpc的安全机制，客户端身份验证或者用户身份验证，不然的话只要rpc端口能访问通，是不是就可以通过rpc获得任何权限了。

[suyuan32]

建议，从数据库生成ent代码支持索引

现在支持单索引，不支持复合索引导入

[suyuan32]

@suyuan32 现在simple-admin关于api权限的控制感觉是不是有点割裂，api的权限控制在后台管理(simple-admin的逻辑)，但是api是否允许匿名访问是在.api文件中声明的(go-zero的逻辑)。另外一个问题是，如果允许api匿名访问，就是不在api文件中设置jwt: Auth，这样就不会经过go-zero中的Authorize中间件，这样的话就不会解析jwt中的内容到上下文，如果一个接口同时允许匿名访问和携带token访问的话，目前看来只能在logic代码中最解析jwt的内容，不太方便。不知道simple-admin有没有计划废弃掉go-zero的jwt管理，统一到自己的中间件上

如果一个接口同时允许匿名访问和携带token访问 这种情况不多吧，不知道simple-admin有没有计划废弃掉go-zero的jwt管理，统一到自己的中间件上 没计划

[suyuan32]

@suyuan32 另外建议增加服务间rpc的安全机制，客户端身份验证或者用户身份验证，不然的话只要rpc端口能访问通，是不是就可以通过rpc获得任何权限了。

看 go zero 文档

[aac3476]

@suyuan32 现在simple-admin关于api权限的控制感觉是不是有点割裂，api的权限控制在后台管理(simple-admin的逻辑)，但是api是否允许匿名访问是在.api文件中声明的(go-zero的逻辑)。另外一个问题是，如果允许api匿名访问，就是不在api文件中设置jwt: Auth，这样就不会经过go-zero中的Authorize中间件，这样的话就不会解析jwt中的内容到上下文，如果一个接口同时允许匿名访问和携带token访问的话，目前看来只能在logic代码中最解析jwt的内容，不太方便。不知道simple-admin有没有计划废弃掉go-zero的jwt管理，统一到自己的中间件上

如果一个接口同时允许匿名访问和携带token访问 这种情况不多吧，不知道simple-admin有没有计划废弃掉go-zero的jwt管理，统一到自己的中间件上 没计划

看是什么业务场景了，如果只做纯后台的话不多。如果toc的话，场景还是很多的，同样一个接口，如果匿名访问的话直接响应默认数据，如果带了token给用户响应定制化数据。或者是浏览之类的接口，匿名访问不处理，带token的话保存浏览记录后面给用户推荐。而且匿名访问控制在代码里，api接口权限控制放在后台，如果是不同的角色维护权限，比如运营之类，还是很割裂的