仅环回 $owner

Question

我有一个环回应用程序，每个客户都可以拥有自己的服务。因此，我需要客户只能查看、添加、编辑和删除它自己的服务。但是无论我做什么，似乎客户要么可以看到所有用户的所有服务，要么没有人可以看到没有人的服务。

服务模式

"relations": {
  "customer": {
    "type": "belongsTo",
    "model": "customer",
    "foreignKey": "customerId"
  }
}

还有我所看到的alc：

"acls": [
  {
    "accessType": "*",
    "principalType": "ROLE",
    "principalId": "$everyone",
    "permission": "DENY"
  },
  {
    "accessType": "*",
    "principalType": "ROLE",
    "principalId": "$owner",
    "permission": "ALLOW"
  }
]

但是如果它像这个服务的所有者并且只有 /GET/{id} 它是服务，但它不能 /GET 所有服务？！？

如果我使用这个：

"acls": [
  {
    "accessType": "*",
    "principalType": "ROLE",
    "principalId": "$everyone",
    "permission": "DENY"
  },
  {
    "accessType": "*",
    "principalType": "ROLE",
    "principalId": "$authenticated",
    "permission": "ALLOW"
  }
]

我有我需要的东西，但这是一个市长安全漏洞，因为每个客户都可以从所有其他客户那里获得所有服务。

Answer 1

您需要在service 模型中添加属性customerId，并且$owner acl 仅在:id 段存在于api url 中时才有效。

如果您的网址没有任何:id，您可以创建自定义角色解析器。