java - 管理 ldap 中的特殊角色

Question

我有一个配置了 spring security 的网络应用程序，它从 ldap 树中获取用户和角色。

我有一个用户 dn ou=User,dc=application 和角色 ou=Groups,dc=application 。

每个角色都是第二个子树中的一个条目，通过角色条目中的属性成员进行关联。

实际上我有 5 个不同的角色访问权限(ROLE_A、ROLE_B、ROLE_C、ROLE_D、ROLE_E):每个角色都授予对特定 url 的访问权限。每个角色都是独立的。

角色子树架构(非常简单且不完整)

ou=组，dc=应用程序。--cn=A--cn=B--cn=C--cn=D--cn=E

现在我必须满足插入 3 个新角色(ROLE_F、ROLE_G、ROLE_H)的请求，这些角色可以按照固定模式分配:- ROLE_F 仅当用户角色为 ROLE_B、ROLE_D、- 仅当用户处于角色 ROLE_C 或 ROLE_E 时才能分配 ROLE_G- 仅当用户处于角色 ROLE_A 或 ROLE_B 时才能分配 ROLE_H

管理这 3 个新角色的最佳实践是什么？我应该将它们视为应用程序中的独立和托管依赖项还是其他什么？

谢谢

Answer 1

是否有任何理由可能需要将新角色作为单独的项目进行管理，因为现在或将来某天，例如ROLE_F授予的权限不会100%适用于ROLE_B的人？如果是这样，那么我会说它们应该分开管理，即使您只是怀疑有一天它们可能需要分开……毕竟，您现在不妨付出一点额外的努力，以节省将来的麻烦。

但是，如果您真正需要做的只是向现有组(本例中为 ROLE_B)添加新权限(例如，由 ROLE_F 授予的权限)，则无需新角色。