web-applications - Web 应用程序中的模糊用户管理

Question

我对 Web 应用程序中的角色管理有点困惑。
假设:用户属于一个角色，一个角色拥有一个或多个权限，权限可以是:查看页面options.html。

如果角色包含权限(查看此页面、查看该页面等)，我们应该如何检查用户在我们的代码中允许查看哪个页面？

我想到了两个选项:
a)角色级别:如果用户是该角色的成员，则显示页面...
b) 权限级别:如果用户有 permissionToViewThatPage 则显示页面...

如果 a) 是要走的路，那我们为什么需要权限？
管理员角色有权查看该页面，稍后有人来更改权限。
在我们的代码中，我们询问用户是否是 admin 角色的成员，但我们不检查权限。

题:
您如何管理源代码(JSP/JSF、ASP.NET)中的用户角色/权限？

Answer 1

如果您不使用角色，那么维护用户就会变得很麻烦，因为您必须在需求变化时更改每个人。如果您不使用页面或功能级别的权限，那么维护代码会变得很麻烦，因为您必须在需求更改时更改代码。

最好的选择是让页面上的功能在需要的地方需要权限，让用户属于一个或多个角色，然后有办法将角色与权限匹配。