asp.net-mvc - .NET MVC 应用程序中的 'drill down' 角色有多远？

Question

我已经编写了一些复杂的 MVC 应用程序，它们都是基于角色并使用 .NET 成员资格的。在我的第一个项目中，我使用了结构与此类似的角色:

管理员

经理

审批人

我很快发现这不是很可扩展，例如客户会说“我希望特定用户 x 拥有所有管理员权限，但 而不是 删除”。然后我将不得不为该用户在 Controller 中进行黑客攻击。

因此，我的第二个实现导致了这种角色结构:

CanCreate

可以删除

CanEditAll

CanEditOwn

这种方法随后导致了字面上的 几十个角色的数量取决于他们是否可以全局编辑特定项目或仅编辑他们自己的项目等等。这也会导致更多的 Controller 操作和相当多的代码 - 尽管在复杂的应用程序中可能就是这种情况!

我的问题是，我是否以正确的方式处理这个问题，是否有任何关于“正确”处理方式的良好在线资源 复杂 具有大量角色的应用程序。我这样做正确吗？

Answer 1

事实上，这是一个非常有趣的话题，我发现自己和你一样遇到了同样的问题。

我读过 Derick Baileys 有趣的博客，内容是“不要进行基于角色的授权检查；进行基于事件的检查”:http://lostechies.com/derickbailey/2011/05/24/dont-do-role-based-authorization-checks-do-activity-based-checks/

但没有时间自己experminet。