python - 使用 Pyramid 进行基于角色的访问控制

Question

我正在考虑使用 Pyramid 构建一个中型 Web 应用程序。我需要实现 RBAC .什么是最好的选择？是否可以使用 Zope 组件？

Answer 1

Well Pyramid 实现了一个 ACL 授权策略，它将主体映射到权限。

1. Principals 可由您配置为任何您喜欢的意思，并且来自请求(用户)本身。
2. 权限是附加到单个 View 或“操作”的字符串。

也许我错了，但 RBAC 似乎很自然地符合这个想法。我知道 RBAC 更像是一个全局策略，而 ACL 通常是上下文相关的，因此附加到数据。但这并不是真正的问题，取决于您计划如何构建应用程序的其余部分。

您也可以相当简单地实现您自己的 RBACAuthorizationPolicy。在 Pyramid 中，它将传递主体和权限，您可以从那里查询您的访问映射，以确定是否为该用户返回 Allowed 或 Denied 值。