問題タブ [role-base-authorization]

私たちはlaravelアプリケーションを開発しています。アプリケーションには、routesファイル内の管理者ユーザーのみがアクセスできる管理部分があります。

ファイルのmiddlewareハンドル関数は次のようになります

次の属性で呼び出される$this->Admin参照先 の広告ModeladminModel

ここで、管理者 URL のグループに新しい URL を追加する必要があります。それを呼び出しましょう newAdminUrl。管理者ユーザーと新しいユーザー グループの両方がアクセスできるようにする必要があります。editors

その URL を の外に置きadmin group、新しいものを割り当てることをお勧めします。アクセスしたいユーザーが編集者グループまたは管理者グループのいずれかに属しており、編集者が別のテーブルに保存されているかどうかを確認するために、追加middlewareで呼び出しましょう。editorsMiddlewareadmin middlewarenewAdminUrl

のEditorModel中で使用される には、次のeditorMiddleware属性があります。

質問： それを実装するための正しい、または良いアプローチは何ですか？または誰かがより良いアイデアや提案を持っていますか?

私のアプリケーションの基本的なアーキテクチャは、多言語ストレージ層の上にある RESTful API を使用する React フロントエンドです。

フロントエンド:
API を使用する React

バックエンド:
Python
Flask

認証
Auth0+OKTA

すべてがうまくいっています。ただし、ユーザーにはさまざまな役割が必要です。つまり、ロールに基づいてユーザーがリソースに対して実行できるアクションを制御する必要があります。

例: -
ユーザー A が新しいユーザーを追加したい -
彼はリクエストにトークンを持っているので、ユーザー A が認証されていることがわかります -今
、彼が自分の役割に基づいて実際にユーザーを追加できることを確認する必要があります。

他のソリューションで提案されているように、ユーザー ロールをハードコーディングしたくありません。また、カスタム ロールを追加できるようにしたいと考えています。

また、私は人々の時間を尊重したいと思っているので、私の懸念に対処するリソースがあれば、遠慮なく教えてください。

これらは私の質問です:
1. 私が達成しようとしていることを実装するためのベストプラクティスはありますか?
2. 承認 (認証ではない) について説明している例またはチュートリアルを教えてください。
3.認証されたユーザーもアクションを実行できるかどうかを各サービス呼び出しで確認しますか、または承認後に何らかの形でロールを提供するので、サービス要求には認証トークンと承認トークンの両方が含まれますか?(これは非常に簡単にハッキングできるようです。ないと思います…）

承認のトピックについて混乱しているように聞こえるとしたら、それは私が混乱しているからです。参考になったリソースがあれば教えてください。

お時間を割いていただき、ありがとうございます。ほんとうにありがとう。

angular 2でACL /紙ベースを実装する最良の方法は何ですか?

簡単に言えば、私のシナリオは次のとおりです。ロールは動的であり、クライアントが構成できるアクセス許可に基づいており、動的にすることもできます。

ユーザーが許可されていない特定のリソースにアクセスできないようにする必要があります。このために、Guards of the Angular の概念を使用することを考えました。CanActivate Guard を使用すると、各ルートに入力する情報に基づいて、ユーザーを通過させるかどうかを設定できます。この情報は、そのルートが参照するリソースの名前になります。警備員に着くと、彼の役割と比較して、彼の役割がこの機能にアクセスできるかどうか、およびナビゲーションを許可するかどうかを確認できました。

しかし、それではさらに 2 つの問題に陥る可能性があります。

1 - アクセス権のあるリソースにユーザーをリダイレクトする方法は? ルート ファイルを一覧表示し、自分の役割に適合する人を探して、そこにリダイレクトする必要がありますか?

2 - アクセスできるページで表示できないコンポーネントを無効にする方法は? たとえば、リスト ページ X へのアクセス権はありますが、新しいアイテムを作成するためのアクセス権がないため、[何かを作成] ボタンを削除する必要があります。むしろ、一部のロールの特定の情報を含むがそのロールの特定の情報を含まない divs 要素でこれを行う方法は?

Angular エコシステム内でこのシナリオにアプローチする最善の方法を知りたいです。

聞いてくれてありがとう。

私は asp.net(C#) のウェブサイトに取り組んでいます。ログインしているすべてのユーザーを承認したい (ユーザーが権限を持たない Web ページを開くことを制限する)。ロールを取得したい場所からSql Serverに2つのテーブルユーザーとロールがあり、そのユーザーを承認します。

Spring Security を使用し、LDAP データベースから認証しています。認証は正常に機能しますが、役割を利用できません!

spring-security.xml には、次のタグがあります。

私の質問は、「ROLE_USER」はどこに定義されているのですか? ユーザーを特定のロールに所属させるにはどうすればよいですか? これは LDAP データベースで発生しますか? はいの場合、どうすればそれを行うことができますか? 私は LDAP についてほとんど知りません。役割を定義する別の構成ファイルですか?

ご協力ありがとうございました。

カスタム ファインダーを使用してロール ベースの認証システムを実装しようとしています。

私が必要とする結果のmysqlクエリは次のとおりです。ユーザーからusers.id、username、passwordHash、locked、group_concat（roles.role）の役割を選択しますusers.id でグループ化

率直に言って、エンティティ レベルの承認の要件があります。このアクセス許可構造、.NET 4.5 での実装方法、および改善方法があるかどうかについて、何らかのガイダンスを得たいと考えています。

ここに行きます：

次のように構造化された一連のデータがあります。

どこ

• aFleetは 0 個以上のコレクションですCars。
• 他のものFleetを含むことができますFleets

フリートは後で再編成し、組織的な目的のために移動することができます。

私は、これらのエンティティに関連するシステムでのアクセス許可を持ついくつかの役割を持っています:

• 所有者: フリートから車を追加または削除できます
• マネージャー: 車にドライバーを割り当てます
• Driver : 車を運転するだけでよい
• 整備士: 車を修理することが許可されています

承認ロジックにより、システム内の に、または1 つ以上の役割を持つUserへのアクセスを許可できます。FleetCar

説明に役立ついくつかのシナリオを次に示します。

1. の役割でUser ジムにFleet #5へのアクセスを許可するとDriver、彼はフリート #2 の下で任意の車を運転することが許可されます。結果の許可により、彼は車 #4、5、6 を運転することができます
2. ユーザーMauraに整備士としてのアクセス権を付与Car #1すると、結果のアクセス許可により、Maura は車 #1 のみを修理することができます。
3. ユーザーSarahに Fleet #2 へのアクセス権をロールOwnerとで付与するとMechanic、彼女は、Fleet #2、4、5 に車を追加および削除することが許可され、さらに、車#1、2、3、4、5、6 を修理することが許可されます.
4. フリート #1 へのアクセス権をジェレミーに付与し、フリート #6へのアクセス権を として付与すると、ジェレミーはすべてのフリートに車を追加Owner およびDriver削除し、車 #7、8 を運転することができます。彼は # 以外の車を運転することはできません。 7と8。

このエンティティ レベルの承認への適切なアプローチは何ですか?

重要な場合は、 ASP.net Boilerplateの上に構築された EF6 Code First で .NET 4.5.1 を使用しています。