如何处理用户角色权限的异常？

Question

假设一个web安全系统由5个表组成，这些表处理web应用程序的授权部分：

1. 用户
2. 角色
3. 权限
4. 角色权限（角色和权限之间的多对多）
5. 用户角色（用户和角色之间的多对多）

有时，用户需要被授予对权限规则的短时间访问权限，然后再次删除，例如当某人外出度假，而其他人需要接管他的任务时。简单的回答是创建一个新角色，将该角色分配给用户，当不再需要该角色时，从用户中删除该角色或完全删除该角色。

我不想一直为这样的事情创造角色。建议的一种解决方案是使用一个名为userPermissionChanges的单独表，该表将记录以下内容：

1. 用户ID
2. PermissionID
3. addDenyFlag（位非空）

如果这是要添加到用户的额外权限，则addDenyFlag为true；如果这是需要删除的权限，则addDenyFlag为false。在服务器范围内查询和缓存用户权限时，我们还将包括/排除更改表，并对每个用户的权限进行必要的更改。

建议的解决方案在理论上是可行的，但我不太确定这是处理这个问题的好方法。有人对如何最好地进行这项工作有什么建议吗？对于这种情况，我应该遵循什么标准？

Answer 1

对于这种情况，我应该遵循什么标准？

有。您试图做的是以与实际应用程序分离的方式实现您自己的授权逻辑。这称为外部化授权管理。

OASIS在过去10年中开发了一种称为XACML的标准，它是可扩展访问控制标记语言的缩写。XACML给你什么？

1. 一个体系结构，具有一个用于查询决策的授权引擎，一个用于查询引擎并执行决策的实施点。强制点保护您的应用程序和管理组件，您可以在其中管理所有授权逻辑
2. 一种策略语言，用于定义您的授权要求，例如您拥有的临时访问权限
3. 用于创建授权请求和响应的请求/响应格式

XACML实现了一个称为基于属性的权限改造（ABAC由NIST定义）的模型，并使用策略来表示授权约束。

示例：

• 一个用户可以对类型为博客文章的项目执行action=view。

您拥有的用例处理临时分配和代理委派用例。您可以按如下方式实现前者：

• 有一个名为temporaryRole的表，其中包含两个字段：角色名称和到期日期

后一种情况需要

• 包含两个字段的表：用户id和代表id。
• 一个新规则：角色为manager的用户或作为manager代表的用户可以对类型为blog post的项目执行action=view

动作、角色、委托、项目类型都是属性。你可以使用多少属性是没有限制的。你只需要弄清楚从哪里读它们。

使用XACML有几个好处：

• 它是基于标准的

查看我的SlideShare帐户了解更多信息，或查看我的博客了解示例。