1

我试图了解 RBAC 以确定它是否是解决我们问题的好方法。

假设上下文是一家银行。在几个参与者中，我们有客户经理和客户。

我想我已经了解客户经理的 RBAC。如果我们想象客户经理可以创建、修改、查看和删除帐户，那么：

  • Account Manager是一个角色，
  • create, modify, view,remove是操作，
  • accounts是对象
  • create account是与角色关联的权限之一 Account Manager

但我的问题是关于客户的……他们只能查阅他们的账户。

我的问题是：我们如何在 RBAC 中指定这个特定帐户？至少有可能还是我必须选择另一种管理访问控制的方式？他们中的哪一个？

4

1 回答 1

0

如前所述，基于属性的访问控制可能是一个很好的解决方案。XACML 可以用于具有复杂策略的应用程序中。

这是Spring Security中关于ABAC的非常易懂的文档

于 2018-01-15T10:58:21.620 回答