asp.net - 非RBAC用户角色和权限系统: a role with properties

Question

我们目前正在我们的网络应用程序 (ASP.NET) 中设计一个用户角色和权限系统，并且我们似乎有几个案例 不适合经典的基于角色的访问控制 (RBAC)。我将发布几个问题，每个问题专门针对一个特定案例。这是我的第二个问题(第一个问题在这里:Non RBAC User Roles and Permissions System: checking the user's City)。

我们有以下情况:我们需要在 Web 应用程序中实现经理角色。但是，经理可以属于一个或多个公司(在我们为其创建此 Web 应用程序的一大公司内)。例如，可以有“A 公司和 B 公司的经理”、“C 公司的经理”等。

根据经理所属的公司，他可以访问某些操作:例如，他只能与他所属公司的客户进行通信。即“A公司、B公司经理”只能与A公司、B公司的客户联系，不能与C公司的客户联系。他还可以查看A公司、B公司的客户详情页，不能查看C公司的客户详情页等。 .

看来这个案例属于 RBAC 的范畴。然而，事实并非如此。我们需要创建一个 ManagerRole 类，它将具有 Companies 属性 - 也就是说，这不仅仅是一个作为权限集合的角色(就像在经典的 RBAC 中一样) )，但是具有属性的角色!

这只是具有属性的角色的一个示例。还有其他角色:例如，管理员角色也属于许多公司，并且还具有其他自定义属性。

这意味着我们将有一个层次结构或角色类:

class Role – base class  
class ManagerRole : Role  
    List Companies  
class AdministratorRole : Role  
    List Companies  
    Other properties

我们调查了纯 RBAC 及其在多个系统中的实现，发现没有系统具有层次结构或角色，每个系统都具有自定义属性。在 RBAC 中，角色只是权限的集合。

我们可以使用带有属性的权限来建模我们的案例，例如 ManagerPermission、AdministratorPermission，但这有很多缺点，主要是我们无法分配像“Manager of公司 A 和 B”直接连接到用户，但必须为公司 A 和 B 创建一个包含 ManagerPermission 的角色……此外，“经理”似乎是一个“角色”(公司中的职位)而不是“从语言学的角度来看，“许可”。

对于有关此主题的任何想法以及该领域的任何经验，我们将不胜感激!

谢谢。

Answer 1

首先我想说，你的两个问题基本相同，应该合并。同一概念的多种变体没有任何值(value)。

您希望在基本角色的基础上添加额外程度的任意歧视。

要实现这种 RBAC 并保留利用任何内置基础设施的能力，您需要做出一些妥协并构建一些自定义实现。

第一步是妥协采用角色定义约定。例如当您想要确定用户是否处于“companyA”的“经理”角色时，您可以将规则定义为“manager-companyA”，无论是属性、代码还是站点地图，即 IsUserInRole("manager-公司A”)。

第二步是自定义 RoleProvider 实现，它可以解析此数据并适当查询维护层次结构关系的底层数据源，为此您必须提供自定义 UI 进行维护。

您至少需要实现 ASP.Net 使用的方法，以确保检查角色或以正确的格式输出。

IsUserInRole 将获取一个字符串，您必须使用约定将其解析为组成段以进行验证，如前所述。

GetRolesForUser 可以在 cookie 中缓存角色时调用，并且必须执行角色的层次递归并输出所有排列。例如用户是 companyA 和 companyB 的经理，因此 GetRolesForUser("user") 应返回一个由值 manager-companyA 和 manager-companyB 组成的数组> 供 asp.net 基础结构使用，该基础结构利用缓存的角色，并且不会交互轮询 RoleProvider。

这种类型的方法将为您提供已建立的 ASP.Net RBAC 设施的最广泛可用性，同时为您提供所需的自定义。

因此，总而言之，只要您可以调整您的期望和/或重新定义您的要求，以便尽可能与现有基础设施配合使用，您实际设计、实现、测试和维护的代码就越少(少得多) 并且您必须花费更多时间专注于尚未建立基础设施的系统的其他方面。