php - 构建更好的访问控制系统

Question

我正在构建访问控制系统，作为我正在开发的 Web 框架的一部分。我想让它变得 super 灵活和令人敬畏。你能通过提供关于我的设计的意见和见解来帮助我吗？这是我到目前为止的工作(我的具体问题在底部):

用户

• 用户拥有用户名(32 个字符，无空格)和密码
• 用户拥有一个或多个必须验证的电子邮件地址
• 用户可以使用他们的用户名或任何电子邮件地址登录
• 用户可能与零个或多个帐户相关联

帐户

• 帐户代表一个或多个用户
• 每个用户都可能对帐户具有特定权限或角色(例如，帐户所有者或“可以添加新用户”)
• 所有帐户都与帐户类型相关联

帐户类型

• 帐户类型具有零个或多个帐户类型角色
• 帐户类型具有零个或多个帐户类型功能

帐户类型角色

• 例如，“所有者”、“管理员”、“高级用户”、“访客”等。
• 帐户类型角色是帐户类型权限的集合

帐户类型权限

• 帐户类型权限是系统中应用逻辑将验证的特定操作
• 它们可以引用父级，因此可以按层次分组
• 例如:
  • “用户管理”
    • “添加用户”
    • “删除用户”
• 这些权限可能专门用于帐户类型功能

帐户类型功能

• 可以在帐户上激活帐户类型功能以赋予其更多权限
• 例如，“标准帐户”或“高级帐户”
• 如果在帐户上激活这些功能，则帐户所有者将获得对系统的更大访问权限
• 它们在激活或停用时被跟踪，并且可以定期或按需计费

问题

根据用户操作检查应用程序逻辑的最佳方法是什么？我正在考虑将用户的所有权限存储在他们 session 的对象中(这需要注销/登录来刷新权限，我不喜欢 - 关于实时权限管理的任何想法？):

{
  "All Permissions": {
    "User Management": {
        "Add User",
        "Delete User"
    },
    "Premium Account": {
        "Download Files",
        "Upload Files"
    },
  }
}

然后我会声明系统中特定操作所需的权限。可能是这样的:

Permission::require('Add User');

如果声明的权限不在用户权限对象中，则请求将失败。不过，对于每个用户的操作来说，这似乎有点激烈。另外，如果另一个权限子集具有字符串“添加用户”怎么办？

在此先感谢您的帮助!

Answer 1

查看您的帐户类型权限，您似乎想到了访问控制列表 (ACL) 样式的系统设计。

如果你想让它变得 super 灵活和令人敬畏，那么我建议这不是一个好的设计。 ACL 系统对简单权限的工作——也许在你的场景中这实际上是可以的——但是一旦授予权限的规则变得哪怕是一点点动态——也就是说，依赖于用户身份或角色之外的任何上下文数据——ACL 就会失败平快。

This video详细介绍了 ACL 的失败之处，并讨论了根据实际情况实现访问控制的替代方法。

此外，这已经在以前做过(尽管我们可以查看的实现很少)；也许看看Rhino Security .原文链接http://ayende.com/Blog/category/548.aspx已损坏，因此请保留 Internet 存档链接以供引用。