我应该验证每个请求的访问权限吗？

Question

我一直想知道，是否最好在每个请求中检查数据库的帐户访问权限，还是在会话状态下缓存（例如 ACL）。

我目前的情况并不是特别关键，但我觉得必须注销并重新登录以刷新缓存的凭据会很烦人。我还考虑过使用带有 TTL 的临时数据存储。似乎它可能是两者中最好的。

Answer 1

安全方面，最好每次都检查数据库的权限。安全漏洞在于，如果用户的权限在创建会话后减少，他们可能仍会获得比应有的更高级别的访问权限。

如果您在开发周期中处于足够早的阶段，您可以在不执行完整查询的情况下采取一些措施来确保安全。如果您有role-based access control (RBAC)，您可以存储一个包含用户角色的快速查找表。如果用户的角色在会话期间发生更改，则在查找表中将权限标记为“脏”，从而导致数据库查询新角色。只要用户的角色保持不变，就不需要查询数据库。那么，查找表基本上只是一个标志，如果用户的角色发生变化，您可以在后端设置它。如果粒度不太细，即使对单独的访问控制也可以使用相同的技术。如果是，它开始在您的服务器上变得臃肿。我们在工作中使用这种技术来加快交易速度。

如果您处于开发周期的后期，或者您更看重简单而不是性能（简单通常更安全），那么我会每次都查询数据库，除非数据库的负载过重。