REST除外的访问控制（RBAC）

Question

是否有任何允许自定义权限的访问控制方法（不包括针对特定用户的规则权限-对于RESTful Web服务）？

例：

Mary拥有主管的角色，可以在其中创建和编辑帖子，但是我想删除创建帖子的权限，但保留Mary的主管的角色。

用户：玛丽

角色：主管

权限：创建和编辑帖子。

意图：玛丽是主管，无法创建帖子。

注意：我不想创建两个角色。 系统管理员必须能够自定义用户的角色和权限（预定义）。 我将非常感谢PHP中的库建议。

Answer 1

您需要的是基于规则的方法，您可以在其中定义：

1. 主管可以创建和编辑帖子
2. 如果用户在黑名单中，则拒绝其创建权限。

为此，请查看XACML或ALFA就是这样做的。 我认为有一个PHP XACML库