访问控制和 XHR 请求

Question

我正在为自定义框架的访问控制实现而苦苦挣扎。

不需要 RBAC 粒度，所以我决定使用某种 ACL 来存放资源 控制器动作。

这是数据库结构：

用户：

• 约翰
• 玛丽
• 格雷格

用户组：

• 管理员
• 会计师
• 经理

users_to_user_groups：

• John => 管理员
• 玛丽 => 会计师
• 格雷格 => 经理

资源（控制器操作）：

• 用户/编辑
• 发票/添加
• 客户/删除

resources_to_user_groups：

• 用户/编辑 => 管理员
• 发票/添加 => 会计师
• 客户/删除 => 经理

这是[伪]代码。

$user = new User; // This will be currently logged in user ...

$acl = new Acl($user);

$dispatcher = new Dispatcher($acl);

$dispatcher->dispatch('users', 'new');

class Dispatcher
{
    public function dispatch($controller, $action)
    {
        $permission = $controller . '/' . $action;

        if(!$this->acl->isAllowed($permission))
        {
            throw new AccessDeniedException("Access denied");
        }

        // User is authorized to execute this action, dispatch ...
    }
}

我喜欢这种方法...直到我意识到还有很多 XHR 请求。

例如，发票列表使用 XHR 请求获取总金额，订单列表使用 XHR 请求 加载订单位置和其他数据等。

所以，一定有一些资源分组，比如新表resource_groups：

• 发票清单（invoices/list, invoices/xhr_get_total_amount）
• 订单列表（orders/list、orders/xhr_get_positons_for_order、orders/xhr_get_some_other_data）
• 添加新用户 (users/new) # 单个操作，新用户输入表单不使用 XHR 请求

...而不是将资源分配给用户组，而是将资源组分配给用户组。

感觉好复杂。这是正确的方法吗？有什么可以改进的？有什么框架可以解决这个问题吗？

Answer 1

在过去的一年里我一直在处理同样的问题，这就是我解决它的方法。

首先，我使用Zend Framework's ACL 库作为基础引擎来告诉我某个用户是否可以访问某些资源。由于 ZF 已经支持用户分组和角色（包括角色层次结构），您无需再担心。

抛开用户分组和角色，接下来是 ZF 内部不支持的资源分组（遗憾的是）。我相信这是您的问题所关注的部分。然而，您可以使用 ZF 并对其进行扩展以满足您的需求。您需要做的就是为资源（平面或分层）提出一个分组机制。然后您可以按照 ZF 手册中的说明使用 ZF。

下面是一个例子：

1. 构造ACL引擎和其他基本对象：

   $acl = new Zend_Acl();
   
   $acl->addRole(new Zend_Acl_Role('guest'))
       ->addRole(new Zend_Acl_Role('member'))
       ->addRole(new Zend_Acl_Role('admin'));
   
   $parents = array('guest', 'member', 'admin');
   $acl->addRole(new Zend_Acl_Role('someUser'), $parents);
   

2. 定义您的资源分组：

   $resources = array(
       'group 1' => array(
           'resource 1'
           , 'resource 2'
           , 'resource 3'
       )
       , 'group 2' => array(
           'resource 1'
           , 'resource 4'
           , 'resource 5'
       )
   );
   

3. 将您的资源引入 ACL 的引擎：

   function addResource(Zend_Acl $acl, $resources, $groupName)
   {
       foreach ($resources[$groupName] as $resource) {
           $acl->add(new Zend_Acl_Resource($resource));
       }
   }
   
   addResource($acl, $resources, 'group 2');
   

4. 使用ACL的引擎查询权限：

   echo $acl->isAllowed('someUser', 'resource 1') ? 'allowed' : 'denied';
   

如你所见，我在这里没有做任何特别的事情。这里引入的唯一新概念是添加到 ACL 引擎的资源与用于查询它的资源不同。但是在我们实际调用 ZF 的库之前已经完成了一层，因此查询 ZF 的 ACL 的调用仍然有效。

我希望我能清楚地写下我的观点。别忘了我只是想给你一个概念，你需要自己想出实际的实现。

Answer 2

为什么不直接向resources 表添加新列，称为descendants，它将存储一个依赖xhr 资源的数组？所以它可能看起来像：

resource: "invoices/list"
descendants: ["invoices/xhr_get_total_amount"]

resource: "orders/list"
descendants: ["orders/xhr_get_positons_for_order","orders/xhr_get_some_other_data"]

resource: "users/new"
descendants: []

此外，如果尚未实现：您可以在请求开始时获取并处理允许资源及其后代的整个列表到单个数组，并将它们存储到响应。因此，您不会在每次需要检查访问权限时都询问数据库。

Answer 3

我知道我不会直接回答您的问题，但也许我可以让您选择一条稍微不同的路径，一旦您的网站规模和复杂性增加，这条路径会变得更加灵活。在阅读this 帖子后，我已将身份验证系统切换为基于活动（允许活动“doSomething”），而不是基于角色（“管理员”可以执行以下操作......）。

只是一个想法。

Answer 4

最好不要使用 * 而是使用请求文件的域。 * 在某些版本的 IE 中会失败（不记得了）。

if ($ref_url)
  header("Access-Control-Allow-Origin:"+$ref_url);
else
  header("Access-Control-Allow-Origin:*");