acl - Acl 中的 Loopback DENY 不起作用

Question

我是环回的新手。我已经为所有用户 ($everyone) 创建了拒绝权限的 ACL。但是我可以通过 swagger 访问所有 API。有人可以解释一下吗？以下是我的 ACL。谢谢。

"acls": [
    {
      "accessType": "*",
      "principalType": "ROLE",
      "principalId": "$everyone",
      "permission": "DENY"
    }
]

Answer 1

可能的原因:

收件人enable access control ，您必须调用 enableAuth()。例如，在启动脚本 server/boot/authentication.js 中:

module.exports = function enableAuthentication(server) {
  server.enableAuth();
};

同时检查您的 server/model-config.json 文件以查看您的 ACL、RoleMapping 和 Role 模型已正确链接到您的数据源。

您的 ACL 是正确的，所以问题出在其他地方。如果我的回答对您没有帮助，您可能需要克隆 loopback-example-access-control repository ，尝试它是否适合您，并最终尝试找出它与您的解决方案有何不同。

你也可以尝试debug它通过为控制台指定一个值为 loopback:security:* 的 DEBUG 环境变量来记录查找并检查服务器在请求进入时所做的检查。