問題タブ [authorization]

ユーザーの概念を持つasp.net mvcアプリケーションを作成しています。各ユーザーは、自分のプロファイルを編集できます。例えば：

• PersonID=1 は、http://localhost/person/edit/1にアクセスしてプロファイルを編集できます
• PersonID=2 は、http://localhost/person/edit/2にアクセスしてプロファイルを編集できます

そこには特にエキサイティングなものはありません...

ただし、承認スキームで少し問題が発生しました。現在、システムには「Administrator」と「DefaultUser」の 2 つの役割しかありませんが、将来的にはさらに増える可能性があります。

両方のユーザーが同じロール (つまり、「DefaultUser」) に属しているため、通常の Authorize 属性を使用して Authorization を指定することはできません。

したがって、Authorize Filter を次のように指定すると、次のようになります。

その後、効果はありません。PersonID=1 は自分のプロファイルにアクセスして編集できますが (できるはずです)、URL をhttp://localhost/person/edit/2に変更することもでき、PersonID=2 の編集への完全なアクセス権を持っています。プロファイルも同様です (これはできないはずです)。

これは、ユーザーがアクセスを許可する前に、ユーザーが要求しているアクションがユーザーに「属している」かどうかを確認する独自の承認フィルターを作成する必要があるということですか? つまり、パラメーター = 1 の編集アクションが現在ログインしている人物によって要求されている場合、現在ログインしている人物が PersonID=1 であることを確認するためにカスタム チェックを実行する必要がありますか。そうでない場合は、アクセスを拒否しますか?

ここで明らかな何かが欠けているように感じるので、ガイダンスをいただければ幸いです。

CakePHP アプリケーションに問題があります。ログイン/ログアウト メカニズムに認証コンポーネントを使用しています。残念ながら、ユーザーが同時に 2 つ以上の php ページを開こうとすると、自動的にログアウトされます。マウスの中ボタンを使用して短い間隔で多くのタブを開く傾向があるため、これは非常に頻繁に発生します。

誰にもアイデアはありますか？それはCakePHPでしょうか、それともユーザーが同時に複数のリクエストを行えるようにするためのphp設定はありますか?

ジョージ

私の Controller クラスは、アクションを保護するために AuthorizeAttribute で装飾されています。

アクションが呼び出されたが、ユーザーが「ユーザー レベル 2」以上のロールに属していない場合はいつでも、ユーザーは次のような URL を持つログイン ページに自動的にリダイレクトされます。

http://localhost:1436/Account/Login?ReturnUrl=%2fBuy

ユーザーがすでにログインしていても、適切なセキュリティ レベルを持っていない場合、これは最適な動作ではありません。ログインページを表示する代わりに、不足しているレベルについてユーザーに通知するページを表示する方が理にかなっています。

この動作をカスタマイズするにはどうすればよいですか?

必要なユーザー レベルを Login アクションに渡すことはできますか?

優れた認証機能を備えた最高のウィキ エンジンは何ですか?

データ転送とアクセスのセキュリティ要件がかなり高いアプリケーションを開発しています。私が理解しているように、イントラネット経由の TCP では Windows 認証が推奨される方法です。

ドメインが使用されておらず、単純なワークグループしか利用できない状況にどのように対処しますか? (ネットワークの管理にドメインを使用しないお客様もいます)。

対話型クライアントの詳細 (現在ログインしているユーザー) を十分に使用しているか、ユーザー名やパスワードを個別に再入力してもらう必要があります。適切なポリシー (一定期間後にコンピュータがロックされるなど)? 一部のユーザーはコンピューターをログインしたままにしがちなので、これは特に重要です。アカウント所有者が実際のユーザーであることを確認するにはどうすればよいですか?

もしそうなら、認証の詳細を再入力するだけの場合、ユーザー名/パスワード認証ではなく Windows 認証を使用する意味は何ですか?

ありがとう

Web アプリケーションでの承認と認証など、セキュリティを処理するためのベスト プラクティスは何ですか?

私は、WCF を SOA として使用して Web アプリケーションに取り組んでいます。将来、アプリケーションの個々のコンポーネントをサードパーティ アプリケーションと統合できる可能性が高くなります。アプリケーションの内部アプローチを使用してアプリケーションの承認と認証を処理できるソリューションを探しています。また、承認と認証のためにサードパーティアプリケーションによって提供されるインターフェイスを使用できます。

私は現在 WCF を使用しており、API キーと署名に基づいてカスタム セキュリティ モデルを実装しようとしています (Facebook/Flickr/OAuth などの仕組みと同様)。

ServiceAuthorizationManager、SecurityToken、SecurityTokenValidator、IAuthorizationPolicy などのクラスがいくつかありますが、これらがどのように連携するか、または WCF の概念セキュリティ モデルとは何かについてのドキュメントを見つけることができないようです。

これらのクラスがどのように適合し、どのように連携するかを詳しく説明するものを本当に探しています。そのため、資格情報を抽出する場所、それらが正しいことを検証する場所、それらに与えるアクセスのレベルを決定する場所などを理解できます。このことについて購入できる本があれば、それはさらに良いでしょう.

そこにドキュメントはありますか？

現在、 rails-authorizationプラグインを Rails アプリケーションに統合しようとしています。インストールとセットアップの手順を実行しましたが、使用しようとするたびに

また

関数を使用すると、「const missing, User#RolesUser」という行に沿ってエラーがスローされますが、これはプラグインでまったく使用されていないようです (Role モデルと RolesUsers テーブルを使用します)。他の誰かがこの問題に遭遇しましたか?

Twitter ATOM フィードにはログインとパスワードが必要ですが (明らかに)、これは IE7 で適切にサポートされています (IE7 は login/pw で RSS フィードを処理できないようです)。IE は、フィードを登録するときに簡単なログイン プロンプトを表示します。

サーバーや IIS にアクセスせずに、ASP.NET で同様のものを実装するにはどうすればよいですか?