security - 资源列表授权的最佳实践是什么？-6ren

security - 资源列表授权的最佳实践是什么？

转载作者：行者123 更新时间：2023-12-04 19:24:54

25

4

发布和/或协作应用程序通常涉及共享对资源的访问。在门户中，用户可能被授予对某些内容的访问权限作为组的成员或由于明确的访问权限。完整的内容集可以包括公共(public)内容、群组成员内容和私有(private)用户内容。或者，对于协作应用程序，我们可能希望将资源作为工作流程的一部分传递或共享文档的保管以进行编辑。

由于大多数应用程序将这些资源存储在数据库中，因此您通常会创建查询，例如“获取我可以编辑的所有文档”或“获取我可以看到的所有内容”。其中“可以编辑”和“可以查看”是用户的权限。

我有两个问题:

检索资源后，对用户进行授权非常容易，但是如何有效地对可用资源列表执行授权呢？并且，

这种授权可以脱离应用的核心吗？也许进入一个单独的服务？分离后，您如何过滤诸如“获取所有我可以看到的标题为 [SomeSearchTerm] 的文档”之类的查询？在我看来，您的单独系统将不得不复制大量引用数据。

最佳答案

您可能有兴趣阅读 this article by Steffen Bartsch .它总结了 Ruby on Rails 的所有授权插件，我相信它会帮助您找到解决方案(虽然本文是关于 Rails 插件的，但这些概念很容易在 Rails 之外导出)。

Steffen 还构建了自己的插件，称为“声明式授权”，它似乎符合您的需求，恕我直言:

一方面，您定义角色 (例如“访客”、“管理员”...)。您的用户与这些角色相关联(在多对多关系中)。您将这些角色映射到特权 (同样是多对多关系)。每个特权都链接到给定的 上下文 .例如，角色“访问者”可能具有“阅读文档”权限。在此示例中，“读取”是权限，它应用于“文档”上下文。

注意:在 Steffen 的插件中，您可以定义角色的层次结构。例如，您可能希望“global_admin”角色包括“document_admin”角色以及“comment_admin”角色等。

您还可以定义权限层次结构:例如，“管理”权限可以包括“读取”、“更新”、“添加”和“删除”权限。

另一方面，您根据 编写应用程序的思想。特权 和 上下文 ，而不是角色。例如，显示文档的 Action 应该只检查用户是否具有在“文档”上下文中“阅读”的权限(无需检查用户是否具有“访问者”角色或任何其他角色)。这极大地简化了您的代码，因为大多数授权逻辑都在其他地方提取(甚至可能由其他人定义)。

用户角色的定义和应用程序级权限的定义之间的这种分离保证了您的代码不会在每次定义新角色时发生变化。例如，以下是 Controller 中访问控制的简单程度:

class DocumentController [...]
  filter_access_to :display, :require => :read
  def display
    ...
  end
end

在 View 内部:

<html> [...]
  <% permitted_to?(:create, :documents) do %>
  <%= link_to 'New', new_document_path %>
  <% end %>
</html>

Steffen 的插件还允许对象级(即行级)访问控制。例如，您可能想要定义一个角色，例如“document_author”，并赋予它“文档”的“管理”权限，但是仅限如果用户是文档的作者。该规则的声明可能如下所示:

role :document_author do
  has_permission.on :documents do
    to :manage
    if_attribute :author => is {user}
  end
end

这里的所有都是它的!您现在可以像这样获取允许用户更新的所有文档:

Document.with_permissions_to(:update)

由于“管理”权限包括“更新”权限，这将返回作者为当前用户的文档列表。

当然，并非每个应用程序都需要这种级别的灵 active ……但您可能需要。

关于security - 资源列表授权的最佳实践是什么？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/170606/

25

4

0

文章推荐： git - 如何解决 git MERGING 状态？

文章推荐： unit-testing - 从 MbUnit 迁移到 MsTest 时的问题

文章推荐： asp.net-mvc - 我应该学习 NHaml 吗？

文章推荐： wpf - 寻找 Expression Blend 设计师

授权:根据用户授权过滤数据
我们需要实现如下授权规则。如果用户是 super 管理员，则向他提供所有客户信息。比如订单信息。如果用户是客户管理员，只提供他自己的客户信息。等等我们计划在 DAO 层实现过滤。创建通用设计来处
curl 授权
我有 https 设置的 Spring Security。尝试以安全方式在 URL 上运行 curl GET 时，我看到了意外行为。当 curl 第一次向服务器发送请求时，它没有授权数据(为什么？
soa - 微服务之间是否应该有身份验证/授权？
关闭。这个问题是 opinion-based 。它目前不接受答案。想改进这个问题？更新问题，以便 editing this post 可以用事实和引用来回答它。 1年前关闭。 Improve thi
security - 单页应用程序中的安全身份验证/授权
我正在构建以下内容: 一个 JavaScript 单页应用程序；一个暴露 RESTful API 的 Node.js 后端，它将存储用户数据；用户凭据(电子邮件/密码)可以通过单页应用程序创建并存
通过REST端点进行Spring Security身份验证/授权
在带有RESTful Web服务的Spring Boot应用程序中，我已将Spring Security与Spring Social和SpringSocialConfigurer一起配置。现在，我有
architecture - RESTful 授权
我正在为真实世界组织的成员在 Rails 中构建一个基于社区的站点。我正在努力遵循 RESTful 设计的最佳实践，其中大部分或多或少是书本上的。使我的大脑在整洁的 RESTful 圈子中运转的问题是
kubernetes - 是否可以在Google容器引擎中打开ABAC模式(授权)？
我想启用 ABAC mode对于我在 Google 容器引擎中使用的 Kubernetes 集群。 (更具体地说，我想限制自动分配给所有 Pod 的默认服务帐户对 API 服务的访问)。但是，由于 -
gitosis 授权 key
奇怪的事情 - 在 git push gitosis 上不会将新用户的 key 添加到/home/git/.ssh/authorized_keys。当然-我可以手动添加 key ，但这不好:( 我能做
.NET 授权。顺序或允许和拒绝元素重要吗？
我很好奇您提供的顺序是否正确和元素中的元素重要吗？最佳答案是的，顺序很重要。本页介绍了基本原理:http://msdn.microsoft.com/en-us/library/wce3kxhd
django - 默认解析器的身份验证/授权
我阅读了如何使用 @login_required 的说明以及其他带有解析器的装饰器。但是，如果不使用显式解析器(而是使用默认解析器)，如何实现类似的访问控制？就我而言，我将 Graphite 烯与
php - Facebook 授权
我用 php 开发了一个审核应用程序，通过它我可以审核所有帖子和评论。我还可以选择在 Facebook 粉丝页面墙上发布帖子。但是，当我尝试这样做时，会引发异常，显示“用户尚未授权应用程序执行此操作”
jQuery 'POST' 授权
我使用 jquery-ajax 方法 POST 来发布授权 header ，但 Firebug 显示错误“401 Unauthorized” header 作为该方法的参数。我做错了什么？我该怎么办
c# - 如何正确使用【授权】
我有两组用户，一组正在招聘，一组正在招聘。我想限制每个用户组对某些页面的访问，但是当我在 Controller 中使用 [Authorize] 时，它允许访问任何已登录的用户而不区分他们来自哪个组？
mysql - 授权 - 如何检查网络应用程序中的用户权限？
我有一个简单直接的授权实现。好吧，我只是认为我这样做，并且我想确保这是正确的方法。在我的数据库中，我有如下表:users、roles、user_role、permissions、 role_perm
java - SOAP 授权
我的 soap 连接代码: MessageFactory msgFactory = MessageFactory.newInstance(); SOAPMessage message
表或列上的 Mysql 授权
我想知道是否可以将 mysql 用户设置为只对数据库中的特定表或列具有读取权限？最佳答案是的，您可以使用 GRANT 为数据库在细粒度级别执行此操作。见 http://dev.mysql.com/
iOS Facebook 授权
我试图获得发布流和离线访问的授权，但出现此错误。而且它没有显示我想要获得的权限。我的代码如下: self.fb = [[Facebook alloc] initWithAppId:@"xxxxxxx
javascript - 数据和盐参数需要错误(授权)
我是 NodeJS 的初学者，我尝试使用 NodeJS + Express 制作身份验证表单。我想对我的密码进行验证(当“confirmpassword”与“password”不同时，它应该不返回任何
Paypal 授权 header
我能够为测试 paypal 帐户成功生成访问 token 和 TokenSecret。然而，下一步是为调用创建授权 header 。在这种情况下，我需要提供我不确定的 Oauth 签名或 API 签
c# - Steam 授权
我正在尝试获取授权 steam 页面的 html 代码，但我无法登录。我的代码是 public string tryLogin(string EXP, string MOD, string TIME)

首页

博学

6Ren·AI

商城

security - 资源列表授权的最佳实践是什么？