12

这个问题几乎涵盖了它。给定一个 RESTful API，其中我们有多种资源类型和各种用户权限，围绕谁可以对它们进行 CRUD，是否有任何既定的最佳实践可以将这些权限公开给前端，这样权限就不必存储在两个地方？

我有一个纯 JS 应用程序，例如，我需要知道何时显示给定资源的编辑和删除链接。我想要一种直接基于存储在后端的 ACL 做出这些决定的标准方法。我考虑过可能在 REST 信封中为所有 GET 响应带回 ACL 部分，但我希望也许有人知道已建立的最佳实践。

对于它的价值，我也在使用 Symfony2 及其安全组件。

4

1 回答 1

13

在纯 RESTful 场景中，客户端根本不会管理 ACL。相反，当客户端请求信息时，返回的资源将包括从这些资源到客户端可以遵循的可能链接的链接。这样，服务器就告诉客户端使用给定资源可以做什么和不可以做什么（特定于谁在请求它）。

示例：您的 JS 客户端检索已购买但尚未发货的商品的 JSON 有效负载。客户端可能会收到如下所示的有效负载：

{
  "name": "Gadget 1",
  "price": "16.99",
  "status": "ORDERED",
  "_links": {
    "details": { "href": "/item/a631723d69/details",
                 "method": "GET"),
    "cancel-shipment": {  "href": "/item/a631723d69",
                 "method": "DELETE" }
  }
}

因为服务器返回了取消-发货链接关系，表示当前订单中的商品是允许取消的。但是想象一下资源在发货后的样子，几天后发出请求：

{
  "name": "Gadget 1",
  "price": "16.99",
  "status": "SHIPPED",
  "_links": {
    "details": { "href": "/item/a631723d69/details",
                 "method": "GET")
  }
}

取消发货链接关系将不再从服务器返回，因为它不再是允许的操作（即，您不能在发货后取消订单）。

更传统的访问控制可以以相同的方式进行管理（即，不要将取消发货链接发送给未经授权的用户）。假设订单尚未发货，您的配偶可以看到您订购的商品，但不允许取消订单。他们会得到这个：

{
  "name": "Gadget 1",
  "price": "16.99",
  "status": "ORDERED",
  "_links": {
    "details": { "href": "/item/a631723d69/details",
                 "method": "GET")
  }
}

因此，总而言之，每个响应中返回的链接封装并表示请求者在系统中的任何给定时刻被授权执行的操作。

在任何情况下，您都必须检查服务器上是否有适当的授权以获取所发出的请求，因为您永远不知道何时有人可能会使用原始 URL 进行黑客攻击。

于 2013-10-21T01:17:44.887 回答