python - Python 桌面应用程序的数据库权限

Question

我最近开始开发一个桌面 python 应用程序，我想知道更多的专家将如何处理这个问题。

我过去曾经使用 PHP + MySQL 开发(大约 5-10 年前)Web 应用程序，因为代码/程序位于用户无权访问的服务器上(网页除外) )，我可以简单地将数据库中的用户/组权限存储在一个表中，例如 users、users_groups、users_permissions 等。然后，我会在每个页面加载时检查用户是否有权访问该页面/更新数据库中的该记录。

对于用户可以访问可执行文件(可以相对容易地反编译为源代码，用 Python 编写)的桌面应用程序，方法可能会完全不同。

由于 MySQL 已经 fork 到 MariaDB 并且不再那么积极地开发，PostgreSQL 看起来很有希望开始。我考虑过在 PostgreSQL 级别创建不同的用户并让 PostgreSQL 处理权限(而不是我的应用程序直接处理它们)。

但是，这仅允许将权限调整到表级别。用户将被允许在表中创建/删除/更新记录，但是没有进一步的控制可用。 AFAIK你不能告诉“让这个用户只更新他自己的记录”或“这个用户只能删除这个组的记录”，或者“X组的用户只能更新自己的记录，而Y组的用户可以更新每个人的记录” .

我对如何处理此类问题的理解是在用户和位于服务器上的数据库之间放置某种中间件应用程序，例如:桌面应用程序<----->服务器端应用程序权限处理程序<----->数据库

服务器端权限处理程序可以像向每个查询添加“WHERE user=...”一样简单，以及更高级的东西(首先检查存储在数据库中的用户权限，根据该权限决定是否让用户执行查询或拒绝它)。我认为这是所有桌面应用程序的常见问题，因此期望这样的服务器端应用程序已经存在。我是否遗漏了一些明显的东西，或者 PostgreSQL 是否允许进行更详细的微调？

感谢您的帮助;)

Answer 1

你的直觉是对的。让客户端直接访问数据库绝不是一个好主意。看看Django https://www.djangoproject.com和 https://www.django-rest-framework.org这将是服务器端的基础。您将在这里处理业务逻辑、身份验证、授权。客户端基本上应该在 UI 中呈现数据并将所有决策委托(delegate)给服务器。

在这里您可以找到有关如何在 Django 中实现具有用户身份验证的 REST api 的分步教程。 https://wsvincent.com/django-rest-framework-authentication-tutorial/