問題タブ [role-base-authorization]

私の典型的なアプリでは、ユーザーはaspxページのボタンをクリックし、C＃ビジネスオブジェクトを呼び出してから、ストアドプロシージャを実行します。

役割のチェックは、スタックの一番上、スタックの一番下、またはすべてのレベルで実行する必要がありますか？悪意のあるユーザーが1つのメソッドを呼び出すことができる場合、彼は任意のメソッドを呼び出すことができるようです。したがって、効果的なセキュリティのために、すべてのメソッドをチェックする必要があります（そしてそれは書くための余分なコードがたくさんあります）。

これが私の質問を説明するための典型的なコールスタックです：

私のサイトに管理者、ユーザー、マネージャーなどの複数のユーザーロールがあり、特定のユーザーまたはすべてのユーザーが使用できる機能のモジュールがいくつかある場合、コントローラーに名前を付けるにはどうすればよいですか？

Admin、User、Managerコントローラーなどの役割ベースのコントローラーと、Productsコントローラーなどの共有機能用のコントローラーを使用しても問題ありませんか？

また、1つのユーザーロールでのみ使用される機能のごく一部については、ユーザーベースのコントローラー内に保持できます。たとえば、製品カテゴリのすべての追加/削除/更新機能を管理コントローラー内に保持できますか、それとも独自のコントローラー内に保持できますか。ほんの数行のコードであるにもかかわらず、コントローラー？

これを行うための規則をネットで検索するとき、実際のファイルに名前を付ける方法だけが提供され、他のソースはコントローラーの機能を説明するだけで、コントローラーであるべきものとすべきでないものは説明しません。

これが主観的なものである場合、私もそれを答えとして喜んで受け入れますが、現在のところ、MVCフレームワークで何が受け入れられ、ロールベースのコントローラーが受け入れられるかどうかはわかりません。

銀行または同様のアプリケーションでは、通常、いくつかの役割が定義され、関連する特権が必要です (たとえば、通常のユーザーは取引のみを行うことができ、それを投稿することはできませんが、スーパーバイザーはそれらを確認して投稿することができます。一種のメーカー/チェッカーです)。また、システムに新しい役割と権限を追加する必要があります (後者についてはわかりません)。

Spring/Hibernate アプリケーションでこの役割ベースのアクセスをどのように実現しますか? 特に、新しい役割/権限を追加するためのスケールアップに関して。Acegi (私は一度も使用したことがありません) は役に立ちますか? 上記を達成するのに役立つ他のアイデアをいただければ幸いです。

ありがとう、

シナリオ:メンバーシップ プロバイダーのセットアップがあり、現在、マシン上の SQL データベースを指しています。役割ベースのアクセスが機能し、セキュリティがトリミングされたメニューがあります。ユーザーは、自分がアクセスできるページにのみアクセスできます。

問題:匿名ユーザーがアクセス権のないページにアクセスしようとすると、ログインできるようにログイン ページが表示されます。それは結構です。しかし、ログインしたユーザーがアクセスできないページにアクセスしようとすると（通常はURLを入力して）、ログインページに再び移動し、ログインするように求めます（すでにログインしている場合を除く）.別のページに移動するか、何らかの方法でアクセス権がないことを伝えてください。

前もって感謝します

ユーザー認証に関連するプロジェクトを構築しています。

このプロジェクトは、会社のタスクマネージャーに関するものです。

会社には多くの部門が含まれており、1つの部門に複数のsub_departmentが含まれている場合があり、sub_departmentにはサブ部門を含めることもできます。

ある部門のマネージャーは、自分の部門のタスクを作成/変更/削除できます。

他の人はタスクを見ることができるだけです。

彼がタスクを作成するとき、彼はオペレーター（仕事をする人）と充電器（タスクを担当する人）を指定する必要があります。オペレーターと充電器は、いくつかの指定された部門に属している必要があります。

たとえば、「department01」という名前の部門が1つあり、この部門には「開発」と「設計」の2つのサブ部門が含まれています。

これで、ユーザー「John」が「development」のマネージャーになり、「development」に属するタスクを追加し、「department01」が「development」の親であるため、「department01」に属するオペレーターと充電器を選択できます。

また、システムには他にもいくつかの役割があります。たとえば、「department01」のボスは、すべてのタスクが「department01」（「開発」と「設計」のタスクを含む）に属していることを確認できます。

この場合、役割ベースの認証の方が優れていると思います。

しかし、Javaで関連情報が見つからないので、例があるかどうか尋ねます。

JDBCレルムでコンテナ認証を使用する方法を学びました。インターネットでよく検索しましたが、JSF認証については次の記事以外は見つかりませんでした。 JSF認証

私の目標は、直接リンクを使用して保護されたページにアクセスすることを避け、認証されたユーザー権限に基づいてメニュー項目とフォームコンポーネントを表示/非表示にすることです。最後の部分は、JSFタグのレンダリングされた属性を使用して実装できますが、独自のダーティで高結合のソリューションを作成する前に、役立つ特定のベストプラクティスやライブラリがあるかどうか疑問に思います。実際、条件付きでレンダリングされるコンポーネントの数は非常に多いので、それぞれに特定の関数を記述したくありません。おそらく、認証されたユーザーごとに、条件付きでレンダリングされたすべてのコンポーネントの名前（id）を持つマップと、Stringパラメーター（コンポーネントの一意の名前/ ID）を持つ単一の関数を作成できます。それは良い考えですか？どのような選択肢がありますか？私はしません

ありがとうフィリッポ

プロジェクトに vaadin を使用しています。vaadin appfundation プラグインを使用してユーザー認証を実装しました。アプリケーションにロール ベース アクセス (承認) を適用する必要がありますが、appfundation でこの機能を実装する方法がわかりません。インターネットでたくさん検索しましたが、その良い例を見つけることができませんでした。誰かがその機能を実装する方法を知っているなら、私に知らせてください。この問題を解決してください。Thnxx

ASP.NET Webでアプリケーションを設計しています-そこからMultilevel役割ベースの承認と許可が必要です（CRUD操作）。

データベースのフォームとテーブルでWebフォームとCRUD操作にアクセスする際に認証ユーザーを実行する必要がありました。

アプリケーションの管理者は、特定のページにアクセスできるロールと、実行が許可されている操作を判別できます。

ASP.NETWeb-Form4.0とEntityFramework4.1データベースファーストアプローチを使用しています。

ASP.NET 2.0のメンバーシップ、役割、フォーム認証に精通しています。

データベースの設計に関する推奨事項や支援をいただければ幸いです。

Orchard CMS のロールとメンバーシップ機能を使用して、Orchard CMS のスタッフ ポータルへのアクセスを制限したいと考えています。現時点では、すぐに使用できる方法はないようです。役立つはずのモジュールへの参照が多数見つかりましたが、どれも機能していないようです。

Very Simple Permissions は、一部のユーザーによって提案されたコードプレックス アイテムであり、現在リンクが切れており、コードプレックスには存在しないようです。Science Project: Quanta は、dll が見つからないという問題でサイトをインストールしようとするたびにサイトを破壊します。

標準メニューシステムまたは高度なメニュープラグインを使用して、ロールに基づいてメニュー項目を表示/非表示にする方法について、誰にもガイダンスがありますか?

また

役割に基づいてコンテンツの可視性を制限します。モジュールが素晴らしい場合は、コーディングで手を汚してもかまいませんが、この mvc スタイルを行う正しい方法のポイントは素晴らしいでしょう。メニュー モジュールのコントローラーを編集して、現在のメンバーシップを確認し、それに応じてビュー データを調整する必要があると仮定します。私はウェブフォームから離れています。ゆっくり。まだフレームワークについて頭を悩ませています。

チェックインしていただきありがとうございます。

Windows 認証を使用して ASP.NET MVC3 イントラネット アプリケーションを作成しています。ドメイン ユーザーのみにこのアプリケーションを使用してもらいたい。ドメイン ユーザーが ( Active Directoryで) 認証されたら、承認のために SQL Server にユーザー (AD ユーザー名で)、Roles & UserRoles テーブルを作成する予定です。

そのため、ユーザーが (コントローラー/アクションにアクセスするための) 一連のアクセス許可を持つロールの一部である場合、そのロールのユーザーのみがそれらを実行/表示できるようにする必要があります。

例: アクション /Locations/Create がある場合、その実行を許可されている役割は、それしか実行できません。

誰かが私にいくつかの指針を与えることができますか？カスタム アクション フィルターを作成し、フィルターを適用するアクション メソッドにフィルター属性を使用する必要がありますか?