基于角色的meanstack web应用访问控制

Question

我正在开发一个mean stack web应用程序，它包含基于登录用户角色的差异访问。有几个不同的角色，如管理员，政府，志愿者等。

1.如何基于角色管理前端？

目前，我正在为每个角色设置全局标志，如isAdmin、is志愿者、isGovt等，并根据其值，使用data ng if=“global.isAdmin”

这是正确的说法吗。如果不是，请建议处理UI的正确方法。

2.如果用户没有授权，如何管理后端和重定向路由？

目前我正在尝试使用angular权限和rbac，但仍然无法在我的应用程序中成功使用这些权限和rbac。有谁能告诉我mean stack web app基于角色的访问控制的最佳实践吗。

在尝试使用角权限时，我无法将创建的角色链接到路由文件。

这是角色模块。

angular.module('mean.users', ['permission'])
.run(['permission', 'Global', '$q',
    function(Permission, Global, $q) {
        console.log('not anonumous');
        Permission
            .defineRole('anonymous', function(stateParams) {
                var deferred = $q.defer();
                if (Global.user) {
                    deferred.resolve();
                } else {
                    deferred.reject();
                }
                return deferred.promise;
            })
            .defineRole('admin', function(stateParams) {
                if (Global.isAdmin) {
                    deferred.resolve();
                } else {
                    deferred.reject();
                }
                return deferred.promise;
            })
            .defineRole('govt', function(stateParams) {
                if (Global.isGovt) {
                    deferred.resolve();
                } else {
                    deferred.reject();
                }
                return deferred.promise;
            })
            .defineRole('volunteer', function(stateParams) {
                if (Global.isVolunteer) {
                    deferred.resolve();
                } else {
                    deferred.reject();
                }
                return deferred.promise;
            });

    }
]);

如何在路由文件中链接上面配置的角色

$stateProvider
        .state('create user', {
            url: '/users/create',
            templateUrl: 'users/views/create.html',
            resolve: {
                loggedin: checkLoggedin
            }
        })
        .state('all users', {
            url: '/users/list',
            templateUrl: 'users/views/list.html',
            data: {
                permissions: {
                     only: ['admin'],
                    redirectTo: 'home'
                }
            }
        })
        .state('show user', {
            url: '/users/:userId/view',
            templateUrl: 'users/views/view.html',
            resolve: {
                loggedin: checkLoggedin
            }
        })
        .state('edit user', {
            url: '/users/:userId/edit',
            templateUrl: 'users/views/edit.html',
            data: {
                permissions: {
                     only: ['admin']
                }
            }
        })
        .state('myprofile', {
            url: '/users/:userId/me',
            templateUrl: 'users/views/myprofile.html',
            resolve: {
                loggedin: checkLoggedin
            }

        });

Answer 1

从您的代码示例中，我猜您使用的是mean。木卫一。

这就是我在前端基于角色的访问控制的方法。木卫一。

首先，我将角色添加到一些用户中，以便他们存在于数据库中，我可以使用他们。

$ mean user [e-mail] --addRole production
$ mean user [e-mail] --addRole sales

然后，我有两条路线要添加到菜单中。应用程序内。我的自定义模块的js我按角色筛选此路由，以便链接不会显示给其他角色：

Report.menus.add({
  roles: ['production'],
  title: 'Production reports',
  link: 'production reports'
});
Report.menus.add({
  roles: ['sales'],
  title: 'Sales reports',
  link: 'sales reports'
});

当然，这不足以限制前端的访问。你可以很容易地指出http://localhost:3000/#！/report/sales，你会看到销售报告，无论你是否有销售角色。

诀窍出现在公共/路线/报告中。自定义模块的js文件，其中我按角色过滤视图。

'use strict';

angular.module('mean.report').config(['$stateProvider',
  function($stateProvider) {
    // Check if user has role
    var checkUserRole = function(role, $q, $timeout, $http, $location) {
      // Initialize a new promise
      var deferred = $q.defer();

      // Make an AJAX call to check if the user is logged in and get user data including roles
      $http.get('/loggedin').success(function(user) {
        // Authenticated
        if (user !== '0' && (user.roles.indexOf(role) > -1 || user.roles.indexOf('admin') > -1)) $timeout(deferred.resolve);

        // Not Authenticated
        else {
          $timeout(deferred.reject);
          $location.url('/auth/login');
        }
      });

      return deferred.promise;
    };

    $stateProvider.state('report', {
      url: '/report',
      templateUrl: 'report/views/index.html'
    })
    .state('production reports', {
      url: '/report/production',
      templateUrl: 'report/views/production.html',
        resolve: {
          loggedin: function($q, $timeout, $http, $location) {
                return checkUserRole('production', $q, $timeout, $http, $location)
            }
        }
    })
    .state('sales reports', {
      url: '/report/sales',
      templateUrl: 'report/views/sales.html',
        resolve: {
          loggedin: function($q, $timeout, $http, $location) {
                return checkUserRole('sales', $q, $timeout, $http, $location)
            }
        }
    });
  }
]);

如果用户未经身份验证，他将被重新定向到登录页面。如果他有错误的角色，他将被重定向到主页。

此方法基于articles模块。希望能有帮助。