问题标签 [access-control]

我正在使用 jsp/servlet 项目，我必须完成对我的 jsps 的访问管理模块，因为我有多个具有不同配置文件的用户。

我在我的数据库中定义了一个表，它恢复了配置文件和允许的 url，如下所示：

现在我试图让菜单适当地修改为登录用户的 id_profil。

因此，一个配置文件中允许有页面，但必须对其他人隐藏。从现在起我不知道如何实现这一点。

在我正在构建的网站上，我需要允许用户编辑他们的订单。很容易。但是如何确保一个用户不能编辑其他用户的订单呢？我是否在模型或控制器中执行检查以验证订单是否属于经过身份验证的用户？

我正在使用 Drupal 6 构建一个以小组为中心的 Web 应用程序（使用有机组）。
所有的组都是邀请的，一旦用户成为组的成员，我相信他拥有完整的组管理员权限（例如邀请其他用户）。

关于如何将所有组成员默认设置为组管理员的任何想法。

干杯。

我对使用.Net Security 提供的具有成员资格的自由访问控制列表很感兴趣。

• .Net 或开源中是否存在任何实现？
• 有没有办法将 .Net 安全性用作 DACL？
• 是否必须构建自定义解决方案？

谢谢。

我在派生类中创建了基类的实例并尝试访问受保护的成员。

我可以直接访问派生类中的受保护成员，而无需实例化基类。

基类：

同一包中的派生类 -

不同包中的派生类 -

当派生类也在同一个包中但当派生类在不同包中时，如何使用基类的实例访问派生类中基类的受保护成员？

如果我将受保护成员标记为“静态”，那么我可以使用派生类中的基类实例访问基类的受保护成员，该派生类位于不同的包中。

我正在开展一个项目，该项目需要一个用户拥有许多帖子。但是，每个用户只能访问他或她自己的帖子。如何使用 CakePHP 的 ACL 组件完成这种类型的行为？

目前，Cake 的 ACL 似乎专注于动作和控制器而不是对象。

任何想法（甚至切换到不同的框架）都会很棒！

谢谢。

Matthieu M.在我以前见过的这个答案中提出了一种访问保护模式，但从未有意识地考虑过一种模式：

这里只有一个friend关键类可以访问protectedMethod()：

Foo它允许比制作更细粒度的访问控制friend并Bar避免更复杂的代理模式。

有谁知道这种方法是否已经有了名字，即，是一种已知的模式吗？

我正在设计一个超媒体 API，是的，一个带有超文本约束的 RESTful API。

系统的每个用户都将使用他们自己的凭据访问系统，因此我们处理的每个请求都经过身份验证和授权。每个用户通常都有特定的凭证，因此他们可能对每个集合具有不同的权限（例如，无、读、读/写）。

我们希望客户端使用它开始的一个 URI 进行初始化，它可能是一个 atom 服务文档，或者是 atom 集合的层次结构（草案 atom 层次结构扩展）。

我的问题基本上是用户应该看到同一个 URI 的不同表示，还是应该根据他们的权限将用户定向到不同的 URI？

例如：用户 A 和用户 B 在系统中具有不同的权限。他们使用不同的凭据登录到相同的起始 URI。成功的响应可能是以下两种之一：

1. 200 OK，并且用户 A 在同一个 URI 上看到与用户 B 不同的东西
2. 302（或其他重定向）每个用户到例如 /endpoint/userA （他们拥有）

可缓存性之间的权衡当然是最小的，因为资源仅由客户端缓存而不是由中介缓存，但也存在可见性的权衡（URI 包含（经过验证的）用户 ID）。最后，未来有可能允许用户 A（或超级用户）看到用户 B 看到的内容。

我不是在问 Twitter 或 Facebook 做什么，我更感兴趣的是 REST 实践者对此有什么看法。

我正在尝试根据遍历每个页面上的每个对象的结果来动态组装我的管理应用程序的导航菜单的最佳方法，这样只有具有用户可用对象的页面显示在菜单中！

举个简单的例子，假设我有两种用户类型；秘书和经理。我有一个简单的管理页面来管理具有两个可以更新的字段的员工；“地址”和“出生日期”。通常，这两个字段都有一个访问级别，允许 SECRETARY 执行我们正常的 CRUD 操作。有一天，我们的管理员来了，并决定“出生日期”需要 MANAGER 级别的访问权限——这很简单，可以在页面上隐藏该字段或将其设为只读。现在，突然之间，管理员决定“地址”字段也需要 MANAGER 级别的访问权限。鉴于此页面上没有可供 SECRETARY 用户使用的字段，我的菜单如何知道是否显示它（无需为菜单选项创建单独的规则）？

Zend 中的 ACL 和 Navigation 之类的东西似乎只是让菜单选项成为访问控制对象。这个：  http ://www.tonymarston.net/php-mysql/role-based-access-control.html#menu-system似乎可以满足我的要求，但我找不到任何演示或代码块谈论这个特定的话题。

下一个问题是，如果我必须维护数据库中页面上所有对象的列表，为什么不在数据库中包含 HTML，并让应用程序动态组装页面而不是使用视图+ 模板？（当然可以缓存）

有什么建议么？

我目前正在使用 C# 编写访问控制程序，并且遇到了阻塞窗口的问题。我想出的最初想法是在进程的 IntPtr 窗口句柄给出的位置上渲染一个纯黑色的表格。其中的问题是平滑地更新表单的位置和位置的 z-index（因为我不希望它位于最顶层）。我还注意到我的解决方案的资源使用率高得离谱，因为我正在使用循环来不断检查位置。

因此，我为什么要问：在不消耗大量资源的情况下，最好的解决方案是什么？入口点只是正在运行的进程的名称。

目前这个想法只是阻止浏览器（IE：一个学校应用程序，以防止讲座活动时分心）。

更多信息：

• 我不想在我自己的应用程序中关闭一个窗口，我试图从其他进程中隐藏窗口。

• 我的应用程序不是病毒/烦人的程序，它本质上是为了防止在学校环境中使用可能会分散注意力的应用程序。它是为学校计算机实验室的讲座而设计的。

• 我目前正在从浏览器进程名称捕获的进程中拉出主窗口。

• 我也不能完全禁用计算机。