Caslという認可ライブラリについて調べる

import { AbilityBuilder, createMongoAbility } from '@casl/ability'
import { User } from '../models'; // アプリ固有のインターフェース

/**
 * @param user ログインしているユーザーの詳細を含む: id, 名前, メール, etc
 */
function defineAbilitiesFor(user: User) {
  const { can, cannot, build } = new AbilityBuilder(createMongoAbility);

  // ブログ投稿を読むことができる
  can('read', 'BlogPost');
  // 自分自身の投稿を管理する（つまり、何でも）できる
  can('manage', 'BlogPost', { author: user.id });
  // 投稿が1日以上前に作成された場合、削除することはできない
  cannot('delete', 'BlogPost', {
    createdAt: { $lt: Date.now() - 24 * 60 * 60 * 1000 }
  });

  return build();
});

// 上記と同じファイルに
import { ForbiddenError } from "@casl/ability";

const user = getLoggedInUser(); // アプリ固有の関数
const ability = defineAbilitiesFor(user);

class BlogPost {
  // ビジネスエンティティ
  constructor(props) {
    Object.assign(this, props);
  }
}

// "ability"が少なくとも1つの投稿を読むために許可されている場合はtrue
ability.can("read", "BlogPost");
// 下記も同じ意味です
ability.can("read", BlogPost);

// ユーザーがブログ投稿の著者である場合はtrue
ability.can("manage", new BlogPost({ author: user.id }));

const ONE_DAY = 24 * 60 * 60 * 1000;
const postCreatedNow = new BlogPost({ createdAt: new Date() });
const postCreatedAWeekAgo = new BlogPost({
  createdAt: new Date(Date.now() - 7 * ONE_DAY),
});

// 投稿の作成から1日以内の場合は削除可能
ability.can("delete", postCreatedNow); // true
ability.can("delete", postCreatedAWeekAgo); // false

// 指定の"ability"がない場合、エラーをスローすることもできます
ForbiddenError.from(ability).throwUnlessCan("delete", postCreatedAWeekAgo);

import { accessibleRecordsPlugin } from "@casl/mongoose";
import mongoose from "mongoose";

mongoose.plugin(accessibleRecordsPlugin);

const user = getUserLoggedInUser(); // アプリ固有の関数

const ability = defineAbilitiesFor(user);
const BlogPost = mongoose.model(
  "BlogPost",
  mongoose.Schema({
    title: String,
    author: mongoose.Types.ObjectId,
    content: String,
    createdAt: Date,
    hidden: { type: Boolean, default: false },
  })
);

// 戻り値はmongoose Queryなので、他の条件とチェインさせることができます
const posts = await BlogPost.accessibleBy(ability).where({ hidden: false });

// 既存のクエリに対してもそれを呼び出して権限を強制することができます
const hiddenPosts = await BlogPost.find({ hidden: true }).accessibleBy(ability);

// 2番目のパラメータとしてアクションを渡すこともできます。デフォルトではアクションは "read"です
const updatablePosts = await BlogPost.accessibleBy(ability, "update");