如何防止用户访问其他用户的数据？

Question

问题

• 用户通过应用程序验证
• 简单的数据库架构：用户 ---> 文档 ---> 项目
• 用于访问文档项的 API

如果登录的用户知道属于其他用户的项目的 ID，他就可以访问它。 我想阻止这种行为。

解决方案

我找到的第一个解决方案是在每个表中的每个记录中添加一个 userid 字段，以便在每次查询时检查该记录是否属于已登录的用户。

这是一个好的解决方案吗？你知道一些更好的设计模式来防止用户访问其他用户的数据吗？

谢谢

Answer 1

1. 如果文档属于某个用户，请调整您的查询，以便只检索属于该用户文档的项目。无需将用户 ID 添加到项目本身。
2. 如果您需要向用户公开 ID，请将这些 ID 设为 GUID，而不是连续数字。虽然不是一个完美的解决方案，但它让猜测其他用户物品的 ID 变得更加困难，
3. 如果您使用的是 Oracle，则有 VPD，即虚拟专用数据库。您可以使用它来限制用户的访问。