coldfusion - 冷融合的安全层次编码风格

Question

我一直在创建这个相当大的 Web 应用程序并且一直在更新它。随着时间的推移，我学到了更多的东西来使系统更实用。现在，我要回过头来尝试删除不可重复使用的或只是奇怪/古怪的代码。

我的第一步是查看我的安全层次结构。我的系统在安全级别的主干上运行。 X 级别可以查看 X 东西...等。

编码的最佳方法是什么？现在，我有一个查询可以检索其安全级别并将其设置为 session 变量。这些人还可以属于许多其他具有不同安全级别的“部门”。 (部门也存储为 session 变量。)我系统中的网页检查我的标题以查看它们是否可以访问该页面。但是，在某些地方，我拥有只有特定安全级别才能查看的动态表单和数据。在这些领域，我几乎有 cfif 声明说如果安全性等于某个级别……向他们展示这个或向他们展示那个。因此，在同一页面上，某人可能会看到不同的内容。

有没有更好的方法来处理这个问题？我觉得我的代码没有想象的那么好。 (嗯，它永远不会那么好。)我基本上是在寻找有关如何以更好的方式处理安全层次结构的建议。

(注意:我已经对系统进行了编码，只是在寻找有关编码风格的建议或验证我所做的是否正确!”)

我也在努力让我的查询更像......并且全部集中在一个地方，这样它们就不会在某些页面上随机 float 。

Answer 1

ColdFusion 内置了基于角色的安全性。您有 <cfloginuser>与其 roles属性和 IsUserInRole()授权检查功能。

另外，您还有一个 roles attribute on CFC functions .这些采用逗号分隔的角色列表，用户必须是其一部分才能被允许执行该功能。

您的工作是管理角色成员资格(通过数据库表)并在 session 开始时建立用户上下文。

如果您将业务逻辑抽象为组件，并考虑创建合理的角色，则可以在应用程序上强加一个非常易于使用的安全模型。