设计支持关系的基于角色的访问控制

Question

我正在为访问控制系统设计一个数据库模型，该系统部分基于角色，但需要一些访问列表功能和关系访问。

我正在为一所学校构建一个web应用程序（如果需要的话，可以使用PHP和MVC体系结构），用于管理学生、教师、员工和管理者之间的互动，例如教师奖励学生，或者其中一名员工招收或开除学生。我的主要问题是，我被要求：1-为每个用户提供可选的额外权限，而不是他们已经从角色继承的权限。(=

走这条路对吗？我应该为每个新的共享连接创建新表还是将它们全部放在一个表中？我感谢任何帮助，或者至少是对这个问题的标准解决方案的指导。

Answer 1

您不应该为访问控制实现DB模型。您的DB模型应该包含您关心的对象（学生、教师、班级……）。其余部分应表示为外部化授权模型中的策略。这称为基于属性的访问控制abac。它也称为基于策略的访问控制（PBAC）。不同的名字，相同的东西。

在ABAC中，一方面有属性（数据库模型中表的字段，例如用户名、角色、课程年份...），另一方面有策略。例如：

• 教师可以编辑所教班级的学生成绩

所有这些都是（业务）授权策略的示例。

在ABAC中，您就有了策略决策点（PDP）的概念，该决策点评估授权策略，策略实施点（PEP）截获业务请求并向PDP发送授权请求。例如：

• 学生Alice可以查看123年级吗？
• 老师Bob可以查看学生Alice的个人资料吗？

人民民主党以许可或拒绝的决定作出答复，人民民主党必须执行该决定。您提到您的应用程序有一个MVC模型。您的PEP可能是控制器层中的拦截器或注释。

有几种ABAC语言和实现：

• 开源：
  • 基于Rego语言的开放策略代理
  • AuthZForce基于XACML标准。