问题标签 [acl]

我们正在开发一个网络应用程序来涵盖印刷公司的所有方面，从财务、工资到工作成本。能够控制谁可以访问这些应用程序的哪些部分非常重要。不想让一线员工给自己加薪等等……

我听说过 ACL 和 ACO 的概念，但还没有找到一个可以适应我们项目的好例子。

有人知道我在哪里可以找到好的工作信息吗？

我正在努力在 CakePHP 中实现 ACL。在阅读了cake 手册中的文档以及其他一些教程、博客文章等之后，我发现 Aran Johnson 的优秀教程帮助填补了许多空白。他的例子似乎与我在一些地方看到的其他例子发生冲突——特别是在他使用的 ARO 树结构中。

在他的示例中，他的用户组被设置为级联树，最通用的用户类型位于树的顶部，其子级为每个更受限制的访问类型分支。在其他地方，我通常将每个用户类型视为相同通用用户类型的子级。

如何在 CakePHP 中设置 ARO 和 ACO？任何和所有提示表示赞赏！

我的应用程序是通过 NSIS 安装的。

我希望安装程序为所有用户安装程序。

我可以通过安装到“程序文件”目录来做到这一点。

有一个数据库文件（firebird），系统上的所有用户帐户都应该共享。

如果我将此数据库文件存储在“程序文件”目录中，它将是只读的。

如果我将它存储在用户的 APPDATA 目录中，他们每个人都会有一个不同的副本，当一个用户添加数据时，其他人不会看到它。

选项 1 - 在我的“程序文件”下的应用程序目录中创建一个“数据”目录，在我的安装程序中使这个目录对所有人都是可读写的，这样用户“程序文件”虚拟化将不会启动并且所有用户都可以更新文件并查看彼此的更改。

还有其他选择吗？

我只是想比较在 Rails 中实现 ACL 时使用的不同解决方案。

我需要在网络中的打印机中执行 SNMP Set 操作，该打印机配置为访问控制列表 (ACL)，并且我的主机的 IP 地址不在 ACL 表中。我遇到了一个奇怪的行为：当我配置了 SNMPv1 集社区名称时，如果我的主机 ip 在 ACL 表中，我只能执行 SNMP 集。如果没有配置 SNMPSet 团体名称，即使我的 ip 地址不在 ACL 表中，我也可以正常执行 SNMP Set。那么，有谁知道 ACL 表和 SNMP Set 社区名称之间是否有任何关系？我的意思是，只有在配置了设置的社区名称时，ACL 才“工作”。这有意义吗？

谢谢你的帮助

我有一个更新我们产品的 Windows 服务。它将产品文件复制到临时目录，通常是“C:\Windows\Temp”，修补二进制文件，然后在重新启动时使用 MoveFileEx 将文件复制回安装目录，通常是“C:\Program Files\Product ”。安装目录中的文件从父文件夹继承其安全属性。复制、修补和重新启动后，安装目录中的文件缺少一些 ACL。具体来说，这些文件不再具有用户组的 ACL，因此用户在重新启动后无法再运行该程序。

谁能解释这里发生了什么？似乎从安装目录复制到临时目录，文件继承了临时目录的 ACL。但是，在 MoveFileEx/Reboot 上，文件仅继承 install 和 temp 目录共有的 ACL。

我正在将文件从文件夹 A 复制到文件夹 B，然后尝试复制文件权限。以下是我正在使用的基本步骤：

1. 复制文件（源，目标）
2. GetNamedSecurityInfo（来源，GROUP_SECURITY_INFORMATION | DACL_SECURITY_INFORMATION）
3. 使用 ConvertSecurityDescriptorToStringSecurityDescriptor 打印源 SD
4. SetNamedSecurityInfo（目标，GROUP_SECURITY_INFORMATION | DACL_SECURITY_INFORMATION）
5. GetNamedSecurityInfo（目标，GROUP_SECURITY_INFORMATION | DACL_SECURITY_INFORMATION）
6. 使用 ConvertSecurityDescriptorToStringSecurityDescriptor 打印目标 SD

在＃3我得到这个SD：

在＃6我得到

对 SetNamedSecurityInfo 的调用返回 ERROR_SUCCESS，但结果是源文件和目标文件没有相同的 SD。这是为什么？我在这里做错了什么？

如果公司经常要求在合作伙伴的活动目录中创建用户，反之亦然，那么在 AD 实例之间建立联合/信任关系是否有意义？如果是这样，应该考虑什么？合作伙伴 AD 中用户的 ACL 是否仍以相同方式工作？这会暴露哪些安全风险？

谢谢！

K A

更新：

我了解到，通过让应用程序本身检查用户存储，有一种更好的方法可以做到这一点。最好的方法是将应用程序移动到两个用户存储都信任的域中。我在下面的答案中提供了更多详细信息。

我正在努力思考如何在多个平台上使用访问权限。现在我正在访问 Microsoft Windows 和 NTFS 文件/目录的权限。

我必须说我正在使用 C 语言工作。我的问题很笼统。我有一个用户名和一个文件路径。

我是否需要更多信息来检查用户是否有权读取/写入/执行？

我应该使用什么技术？ACL 或基本 Win32 API ？还有什么？

感谢您提供任何帮助。

有很多 Rails 插件可以处理用户权限。我对 hobo gem 中的实现印象深刻，但我不确定我是否可以只使用这个功能而不是其他部分。GateKeeper 是一个非常聪明的实现，但有一些错误，虽然它足够小，我可能自己可以修复它。Restful_ACL 为您提供了一个用于检查创建的类方法，这意味着您无法对相关实例进行任何检查（不确定它是否会进行范围查找）。

我想要提供 ActiveRecord#find 的范围版本的东西，它只找到当前用户被允许看到的东西。这应该足够强大，您只能看到您或您的一位朋友拥有的画廊中的图片。

作为奖励，它可以防止您无权执行的创建或更新（在 before_* 或验证步骤中），包括将您自己的记录与不同的用户或画廊相关联，或创建此类记录。