docs: update documentation for Halo 2.9 (#246)

为 Halo 2.9.0 更新文档。

/kind documentation

```release-note
None 
```

versioned_docs/version-2.9/developer-guide/plugin/api-reference/role-template.md

@@ -0,0 +1,103 @@
+---
+title: API 权限控制
+description: 了解如果对插件中的 API 定义角色模板以接入权限控制
+---
+
+插件中的 APIs 无论是自定义模型自动生成的 APIs 或者是通过 Controller 自定义的 APIs 都只有超级管理员能够访问，如果想将这些 APIs 授权给其他用户访问则需要定义一些 RoleTemplate 的资源以便可以在用户界面上将其分配给其他角色使用。
+
+RoleTemplate 的 yaml 资源也需要放到 `src/main/resources/extensions` 目录下，文件名称可以任意，它的 kind 为 Role 但需要一个 label `halo.run/role-template: "true"` 来表示它是角色模板。
+
+Halo 的权限控制对同一种资源一般只定义两个 RoleTemplate，一个是只读权限，另一个是管理权限，因此如果没有特殊情况需要更细粒度的控制，我们建议你也保持一致：
+
+```yaml
+apiVersion: v1
+kind: Role
+metadata:
+  # 使用 plugin name 作为前缀防止与其他插件冲突
+  name: my-plugin-role-view-persons
+  labels:
+    halo.run/role-template: "true"
+  annotations:
+    rbac.authorization.halo.run/module: "Persons Management"
+    rbac.authorization.halo.run/display-name: "Person Manage"
+    rbac.authorization.halo.run/ui-permissions: |
+      ["plugin:my-plugin:person:view"]
+rules:
+  - apiGroups: ["my-plugin.halo.run"]
+    resources: ["my-plugin/persons"]
+    verbs: ["*"]
+---
+apiVersion: v1
+kind: Role
+metadata:
+  name: my-plugin-role-manage-persons
+  labels:
+    halo.run/role-template: "true"
+  annotations:
+    rbac.authorization.halo.run/dependencies: |
+     [ "role-template-view-person" ]
+    rbac.authorization.halo.run/module: "Persons Management"
+    rbac.authorization.halo.run/display-name: "Person Manage"
+    rbac.authorization.halo.run/ui-permissions: |
+      ["plugin:my-plugin:person:manage"]
+rules:
+  - apiGroups: [ "my-plugin.halo.run" ]
+    resources: [ "my-plugin/persons" ]
+    verbs: [ "get", "list" ]
+```
+
+上述便是根据 [自定义模型](./extension.md) 章节中定义的 Person 自定义模型配置角色模板的示例。
+
+定义了一个用于管理 Person 资源的角色模板 `my-plugin-role-manage-persons`，它具有所有权限，同时定义了一个只允许查询 Person 资源的角色模板 `my-plugin-role-view-persons`。
+
+下面让我们回顾一下这些配置：
+
+`rules` 是个数组，它允许配置多组规则：
+
+- `apiGroups` 对应 `GVK` 中的 `group` 所声明的值。
+- `resources` 对应 API 中的 resource 部分，`my-plugin` 表示插件名称。
+- `verbs` 表示请求动词，可选值为 "create", "delete", "deletecollection", "get", "list", "patch", "update"。对应的 HTTP 请求方式如下表所示：
+
+| HTTP verb | request verb                                                 |
+| --------- | ------------------------------------------------------------ |
+| POST      | create                                                       |
+| GET, HEAD | get (for individual resources), list (for collections, including full object content), watch (for watching an individual resource or collection of resources) |
+| PUT       | update                                                       |
+| PATCH     | patch                                                        |
+| DELETE    | delete (for individual resources), deletecollection (for collections) |
+
+`metadata.labels` 中必须包含 `halo.run/role-template: "true"` 以表示它此资源要作为角色模板。
+
+`metadata.annotations` 中：
+
+- `rbac.authorization.halo.run/dependencies`：用于声明角色间的依赖关系，例如管理角色必须要依赖查看角色，以避免分配了管理权限却没有查看权限的情况。
+- `rbac.authorization.halo.run/module`：角色模板分组名称。在此示例中，管理 Person 的模板角色将和查看 Person 的模板角色将被在 UI 层面归为一组展示。
+- `rbac.authorization.halo.run/display-name`：模板角色的显示名称，用于展示为用户可读的名称信息。
+- `rbac.authorization.halo.run/ui-permissions`：用于控制 UI 权限，规则为 `plugin:{your-plugin-name}:scope-name`，使用示例为在插件前端部分入口文件 `index.ts` 中用于控制菜单是否显示或者控制页面按钮是否展示：
+
+```javascript
+{
+  path: "",
+  name: "HelloWorld",
+  component: DefaultView,
+  meta: {
+    permissions: ["plugin:my-plugin:person:view"]
+  }
+}
+```
+
+以上定义角色模板的方式适合资源型请求，即需要符合以下规则
+
+- 以 `/api/<version>/<resource>[/<resourceName>/<subresource>/<subresourceName>]` 规则组成 APIs。
+- 以 `/apis/<group>/<version>/<resource>[/<resourceName>/<subresource>/<subresourceName>]` 规则组成的 APIs。
+
+注：`[]`包裹的部分表示可选
+
+如果你的 API 不符合以上资源型 API 的规则，则被定型为非资源型 API，例如 `/healthz`，需要使用一下配置方式：
+
+```yaml
+rules:
+ # nonResourceURL 中的 '*' 是一个全局通配符
+  - nonResourceURLs: ["/healthz", "/healthz/*"]
+    verbs: [ "get", "create"]
+```