草庐IT

php - 构建更好的访问控制系统

coder 2023-06-14 原文

我正在构建访问控制系统，作为我正在开发的 Web 框架的一部分。我想让它变得 super 灵活和令人敬畏。你能通过提供关于我的设计的意见和见解来帮助我吗？这是我到目前为止的工作(我的具体问题在底部):

用户

  • 用户拥有用户名(32 个字符，无空格)和密码
  • 用户拥有一个或多个必须验证的电子邮件地址
  • 用户可以使用他们的用户名或任何电子邮件地址登录
  • 用户可能与零个或多个帐户相关联

帐户

  • 帐户代表一个或多个用户
  • 每个用户都可能对帐户具有特定权限或角色(例如，帐户所有者或“可以添加新用户”)
  • 所有帐户都与帐户类型相关联

帐户类型

  • 帐户类型具有零个或多个帐户类型角色
  • 帐户类型具有零个或多个帐户类型功能

帐户类型角色

  • 例如，“所有者”、“管理员”、“高级用户”、“访客”等。
  • 帐户类型角色是帐户类型权限的集合

帐户类型权限

  • 帐户类型权限是系统中应用逻辑将验证的特定操作
  • 它们可以引用父级，因此可以按层次分组
  • 例如:
    • “用户管理”
      • “添加用户”
      • “删除用户”
  • 这些权限可能专门用于帐户类型功能

帐户类型功能

  • 可以在帐户上激活帐户类型功能以赋予其更多权限
  • 例如，“标准帐户”或“高级帐户”
  • 如果在帐户上激活这些功能，则帐户所有者将获得对系统的更大访问权限
  • 它们在激活或停用时被跟踪，并且可以定期或按需计费

问题

根据用户操作检查应用程序逻辑的最佳方法是什么？我正在考虑将用户的所有权限存储在他们 session 的对象中(这需要注销/登录来刷新权限，我不喜欢 - 关于实时权限管理的任何想法？):

{
  "All Permissions": {
    "User Management": {
        "Add User",
        "Delete User"
    },
    "Premium Account": {
        "Download Files",
        "Upload Files"
    },
  }
}

然后我会声明系统中特定操作所需的权限。可能是这样的:

Permission::require('Add User');

如果声明的权限不在用户权限对象中，则请求将失败。不过，对于每个用户的操作来说，这似乎有点激烈。另外，如果另一个权限子集具有字符串“添加用户”怎么办？

在此先感谢您的帮助!

最佳答案

查看您的帐户类型权限，您似乎想到了访问控制列表 (ACL) 样式的系统设计。

如果你想让它变得 super 灵活和令人敬畏，那么我建议这不是一个好的设计。 ACL 系统对简单权限的工作——也许在你的场景中这实际上是可以的——但是一旦授予权限的规则变得哪怕是一点点动态——也就是说，依赖于用户身份或角色之外的任何上下文数据——ACL 就会失败平快。

This video详细介绍了 ACL 的失败之处，并讨论了根据实际情况实现访问控制的替代方法。

此外，这已经在以前做过(尽管我们可以查看的实现很少)；也许看看Rhino Security .原文链接http://ayende.com/Blog/category/548.aspx已损坏，因此请保留 Internet 存档链接以供引用。

关于php - 构建更好的访问控制系统，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/3480736/

php构建listrongsectionframeworksuser-accounts

有关php - 构建更好的访问控制系统的更多相关文章

  1. ruby - 为什么我可以在 Ruby 中使用 Object#send 访问私有(private)/ protected 方法？ - 2

    类classAprivatedeffooputs:fooendpublicdefbarputs:barendprivatedefzimputs:zimendprotecteddefdibputs:dibendendA的实例a=A.new测试a.foorescueputs:faila.barrescueputs:faila.zimrescueputs:faila.dibrescueputs:faila.gazrescueputs:fail测试输出failbarfailfailfail.发送测试[:foo,:bar,:zim,:dib,:gaz].each{|m|a.send(m)resc

  2. ruby-on-rails - 在混合/模块中覆盖模型的属性访问器 - 2

    我有一个包含模块的模型。我想在模块中覆盖模型的访问器方法。例如:classBlah这显然行不通。有什么想法可以实现吗？ 最佳答案 您的代码看起来是正确的。我们正在毫无困难地使用这个确切的模式。如果我没记错的话，Rails使用#method_missing作为属性setter，因此您的模块将优先，阻止ActiveRecord的setter。如果您正在使用ActiveSupport::Concern(参见thisblogpost)，那么您的实例方法需要进入一个特殊的模块:classBlah

  3. ruby - 续集在添加关联时访问many_to_many连接表 - 2

    我正在使用Sequel构建一个愿望list系统。我有一个wishlists和itemstable和一个items_wishlists连接表(该名称是续集选择的名称)。items_wishlists表还有一个用于facebookid的额外列(因此我可以存储opengraph操作)，这是一个NOTNULL列。我还有Wishlist和Item具有续集many_to_many关联的模型已建立。Wishlist类也有:selectmany_to_many关联的选项设置为select:[:items.*,:items_wishlists__facebook_action_id].有没有一种方法可以

  4. Ruby Readline 在向上箭头上使控制台崩溃 - 2

    当我在Rails控制台中按向上或向左箭头时，出现此错误:irb(main):001:0>/Users/me/.rvm/gems/ruby-2.0.0-p247/gems/rb-readline-0.4.2/lib/rbreadline.rb:4269:in`blockin_rl_dispatch_subseq':invalidbytesequenceinUTF-8(ArgumentError)我使用rvm来管理我的ruby​​安装。我正在使用=>ruby-2.0.0-p247[x86_64]我使用bundle来管理我的gem，并且我有rb-readline(0.4.2)(人们推荐的最少

  5. ruby-on-rails - 带 Spring 锁的 Rails 4 控制台 - 2

    我正在使用Ruby2.1.1和Rails4.1.0.rc1。当执行railsc时，它被锁定了。使用Ctrl-C停止，我得到以下错误日志:~/.rvm/gems/ruby-2.1.1/gems/spring-1.1.2/lib/spring/client/run.rb:47:in`gets':Interruptfrom~/.rvm/gems/ruby-2.1.1/gems/spring-1.1.2/lib/spring/client/run.rb:47:in`verify_server_version'from~/.rvm/gems/ruby-2.1.1/gems/spring-1.1.

  6. ruby-on-rails - openshift 上的 rails 控制台 - 2

    我将我的Rails应用程序部署到OpenShift，它运行良好，但我无法在生产服务器上运行“Rails控制台”。它给了我这个错误。我该如何解决这个问题？我尝试更新ruby​​gems，但它也给出了权限被拒绝的错误，我也无法做到。railsc错误:Warning:You'reusingRubygems1.8.24withSpring.UpgradetoatleastRubygems2.1.0andrun`gempristine--all`forbetterstartupperformance./opt/rh/ruby193/root/usr/share/rubygems/rubygems

  7. ruby-on-rails - 更好的替代方法 try( :output). try( :data). try( :name)? - 2

    “输出”是一个序列化的OpenStruct。定义标题try(:output).try(:data).try(:title)结束什么会更好？:) 最佳答案 或者只是这样:deftitleoutput.data.titlerescuenilend 关于ruby-on-rails-更好的替代方法try(:output).try(:data).try(:name)?，我们在StackOverflow上找到一个类似的问题： https://stackoverflow.c

  8. ruby-on-rails - 使用 ruby​​ 将多个实例变量转换为散列的更好方法？ - 2

    我收到格式为的回复#我需要将其转换为哈希值(针对活跃商家)。目前我正在遍历变量并执行此操作:response.instance_variables.eachdo|r|my_hash.merge!(r.to_s.delete("@").intern=>response.instance_eval(r.to_s.delete("@")))end这有效，它将生成{:first="charlie",:last=>"kelly"},但它似乎有点hacky和不稳定。有更好的方法吗？编辑:我刚刚意识到我可以使用instance_variable_get作为该等式的第二部分，但这仍然是主要问题。

  9. ruby - 在 Ruby 中构建长字符串的简洁方法 - 2

    在编写Ruby(客户端脚本)时，我看到了三种构建更长字符串的方法，包括行尾，所有这些对我来说“闻起来”有点难看。有没有更干净、更好的方法？变量递增。ifrender_quote?quote="NowthatthereistheTec-9,acrappyspraygunfromSouthMiami."quote+="ThisgunisadvertisedasthemostpopularguninAmericancrime.Doyoubelievethatshit?"quote+="Itactuallysaysthatinthelittlebookthatcomeswithit:themo

  10. 电脑0x0000001A蓝屏错误怎么U盘重装系统教学 - 2

    　　电脑0x0000001A蓝屏错误怎么U盘重装系统教学分享。有用户电脑开机之后遇到了系统蓝屏的情况。系统蓝屏问题很多时候都是系统bug，只有通过重装系统来进行解决。那么蓝屏问题如何通过U盘重装新系统来解决呢？来看看以下的详细操作方法教学吧。　　准备工作：　　1、U盘一个（尽量使用8G以上的U盘）。　　2、一台正常联网可使用的电脑。　　3、ghost或ISO系统镜像文件（Win10系统下载_Win10专业版_windows10正式版下载-系统之家）。　　4、在本页面下载U盘启动盘制作工具：系统之家U盘启动工具。　　U盘启动盘制作步骤：　　注意：制作期间，U盘会被格式化，因此U盘中的重要文件请注

随机推荐