问题标签 [role-based-access-control]

我目前正在做一个项目，其中一个要求是使用用户 Windows 登录作为他们的 MS Access 登录，然后他们将在其中单击该角色以访问系统。我以前从未这样做过，但我在 Access 中设置了一个登录屏幕，它从表中提取数据。我有成功拉取用户窗口登录的代码，但在此之后我遇到了麻烦。表名是 tblUser，用户是 General User、HR 和 Admin。目前，在表中，我分配的角色编号为 General User = 1、HR = 2、Admin = 3。

下面是我过去为登录屏幕构建的代码。通过绘制所有内容，似乎这将是相同的过程，但我不确定。我可以对下面的代码做些什么吗？

我希望这是我想要完成的足够信息。如果需要更多信息，请告诉我。谢谢你。

我正在做一个项目，我需要在 Web API 上实现访问控制，如下所示。

我想向 API 用户授予部分或子集访问权限。例如

• 我在 Web API 中有 4 个资源。
• 我只想向用户 X 授予 1 和 3 资源访问权限。用户不应该能够访问资源 2 和 4。
• 并且任何资源都不应透露有关其他资源的任何信息。

我怎样才能在 web api 中实现上述结果。这样做的推荐方法应该是什么。

我已经完成了关于 SO 的大部分问答。

请帮助我。非常感谢任何帮助，在此先感谢。

在基于 JHipster 的项目中，我们需要根据登录的角色/用户选择性地过滤掉某些列。所有用户都可以查看/修改大部分列，但只有一些特权用户可以查看/修改某些安全字段/列。

看起来完成这项工作的唯一选择是使用 EntityListeners。PostLoad我可以在事件期间使用 EntityListener 并屏蔽某个列。例如，我my_secure_column用 XXX 屏蔽列并显示给用户。

用户然后更改一些其他字段/列（他可以访问）并提交表单。我是否必须在PreUpdate事件中再次捕获部分填充的实体，从数据库中获取原始值my_secure_column并在持久化之前设置它？

这一切似乎都是低效的。搜索了几个小时，但找不到最适合这个用例的具体实现。

编辑1：这看起来像是以稍微更好的方式实现这一目标的第一步。在 Spring Data JPA 中使用更新查询更新实体

我可以使用特定的部分更新，例如 updateAsUserRole、updateAsManagerRole 等，而不是一直保留整个实体。

坦率地说，我有一个实体级授权的要求。我希望获得有关此权限结构的一些指导，我如何在 .NET 4.5 中实现它，以及是否有办法改进它。

它是这样的：

我有一组数据结构如下：

在哪里

• aFleet是零个或多个 的集合Cars。
• aFleet可以包含其他Fleets

以后可以出于组织目的对舰队进行重组和移动。

我在系统中有几个角色具有与这些实体相关的权限：

• 所有者：可以从车队中添加或删除汽车
• 经理：将司机分配给汽车
• 司机：被允许简单地驾驶汽车
• 机械师：可以修车

授权逻辑允许User系统中的 a 被授予对具有一个或多个角色的 aFleet或 a 的访问权限。Car

以下是一些有助于解释的场景：

1. 如果我授予User Jim以角色访问Fleet #5Driver的权限，则允许他驾驶车队 #2 下的任何汽车。由此产生的权限允许他驾驶 #4、5、6 号汽车
2. 如果我授予用户MauraCar #1作为 Mechanic 的访问权限，则生成的权限允许她仅修复 #1 车。
3. 如果我授予用户SarahOwner使用角色and访问 Fleet #2 的权限Mechanic，则允许她向 Fleet #2、4、5 添加和删除汽车，并且允许她修复汽车 #1、2、3、4、5、6 .
4. 如果我授予用户Jeremy对车队 #1 的访问权限以及Owner 对车队 #6 的访问Driver权限，则生成的权限允许他向所有车队添加和删除汽车并驾驶汽车 #7、8。他不能驾驶除 # 之外的任何其他汽车7 和 8。

这种实体级授权的好方法是什么？

如果重要的话，我们使用 .NET 4.5.1 和 EF6 Code First，构建在ASP.net Boilerplate 之上。

我们正在使用基于 Jenkins 角色的策略来授予权限。我的 QA 获得了在全局角色中构建和取消作业的权限。我创建了具有匹配模式的项目角色，让他可以访问 QA 环境中的部署。但是由于全球角色，他能够在产品工作上进行部署。如何阻止他访问 Prod 工作并让他只访问 QA 工作。

我需要根据用户 ID 和/或 mongo db 中调用者的角色将一些规则应用于用于搜索的集合以及返回的文档。

我看到 mongodb 支持在内部创建一个或多个用户，并将它们用于细粒度的资源访问策略。

通常，角色和用户 ID 是在外部活动目录或 ldap 中创建的，当我们代表所有客户端从 Web 应用程序连接到 mongodb 时，我们只使用一个用户 ID。

我的查询是，有没有办法将这些外部用户标识和角色映射到内部用户标识，以及在 mongodb 中执行命令/查询时传递调用者/安全上下文信息的机制是什么。

我是 JMX 新手，我正在尝试使用 JMX 进行远程监控，并遵循了有关使用 JMX 技术进行监控和管理的 Oracle 文档，并正在尝试来自 JMX RMI 连接器中的 post Authentication and Authorization的示例。我可以使用密码和访问文件创建 Hello World MBean 示例，现在我想使用自定义转发器来实现相同的授权（用例 2 in 2）。

我编写了如图所示的 java 代码，但是当我使用 monitorRole (readOnly) 凭据登录到 jConsole 时，它​​给出了连接失败错误，但对于controlRole (readWrite) 非常有效。

以下是来自自定义货运代理的授权代码。请让我知道需要对monitorRole授权代码进行哪些更改。

完整代码如下：

}

我正在用角度 js 工厂方法编写一个权限函数来检查用户角色。如果用户对象具有这样的角色，那么结果应该为真，否则它应该返回假。我的用户对象是：

应用模型工厂中的 My Permission 功能是：

我正在检查以下情况： 1.如果该数组中有多个角色具有“全部必需”条件，则检查用户对象中是否存在多个角色并返回真，否则返回假。

2.如果该数组中有多个角色，则检查这些多个角色是否存在于用户对象中，如果有任何角色匹配，则返回true，否则返回false。

3.如果该数组中有单个角色，则检查用户对象中是否存在角色，如果该角色匹配，则返回 true，否则返回 false。

上面的代码对于单个角色检查运行良好，但在使用“全部必需”或非“全部必需”条件进行多角色检查的情况下，它不能正常工作并返回 false。

这不是一个重复的问题，或者其他解决方案中给出的解决方案没有奏效。

假设有一个控制器

我已经尝试了以下问题中的解决方案

1. 添加角色以授权属性

2. 动态地将控制器操作权限分配给角色

3. 动态添加角色以授权控制器的属性（错误：处理方法 - 找不到合适的方法来覆盖）

4. 基于策略的授权可以更加动态吗

所有这些解决方案都不起作用，因为接口中覆盖的方法不存在（例如，authorizeAttribute 不包含 AuthorizeCore 的定义），或者在某些情况下 IServiceCollection 服务不包含特定方法

我正在开发一个需要多个角色的项目，我正在使用https://github.com/Narzerus/angular-permission。我需要对每个角色使用不同的权限集。例如，角色admin可以拥有权限 -> PageView、PageEdit、PageCreate，而角色查看者只有权限 -> PageView。

与每个用户关联的角色都存储在数据库中，我打算使用转换对象功能来确保什么角色与什么用户关联。

我是 Angular 的新手，无法找到一种方法来定义我可以的角色，1. 将多个权限与其关联，2. 将其与转换属性（动态函数）相关联。