security - 休息サービスで他のユーザーのデータを保護する方法 (パターン) はありますか?

Question

安らかなサービスを通じてユーザー リソース (ユーザー データ) を公開するコンテキストでは、2 番目のユーザーがそのデータの所有者でない場合、ユーザーの 1 人のデータに他のユーザーからアクセスできないようにしたいと考えています。各ユーザー ID をそのデータ (プログラムによる解決策) にマップする複雑なモデルを再発明する代わりに、この問題に適用できるベスト プラクティスやデザイン パターン、またはあらゆる種類のモデルはありますか? ユーザープロファイルを使用すると、ある種のユーザーが別の種類のユーザーのデータにアクセスできないことを保証できますが、同じプロファイルのユーザーが別のユーザーデータにアクセスできないとは確信できません。

Answer 1

ユーザーを認証してから、ユーザーをデータに関連付ける（複雑/プログラムと呼んでいる）か、データを作成したユーザー以外はデータを読み取れないようにする必要があります。ユーザーがすべてのデータを秘密鍵で暗号化し、サーバーに保存するように。これは少し異なります。誰もがデータにアクセスできるため、あまり意味をなさないからです。

2 番目の方法はお勧めしません。プロファイル データ (生年月日、興味、そのプロファイルに含まれる可能性のあるもの) を使用することができず、暗号化されたデータを誰もが見ることができるからです。

しかし、これが複雑なものを再発明しているというあなたの考えは逆説的です。使用できるプラグインベースの認証スキームがたくさんあるのに、なぜそれを再発明するのですか? この場合のセキュリティは後付けですか？もしそうなら、そうすべきではありません。これを保証している場合は、それを提供することを最優先する必要があります。