如何处理应用程序中的授权？

Question

我已经完成了ASP.NET 3.5 Web应用程序的身份验证部分。 我想进一步了解常见的授权模式。

我可以介绍一下我当前的授权结构：

我有一个带有“模块”和“操作”表的数据库。 模块代表应用程序中的系统，而操作代表人们能够在系统内执行的动作。

客户，订单，开票将被定义为模块。 “操作”与模块有关：Customer.Add，Customer.Delete将是客户操作。

每个用户都有一个可以访问某些操作的角色，具体取决于他们的角色。

请注意，页面菜单是根据用户的访问权限生成的，用户将不会看到他们无法访问的模块和操作。

---

我的问题从如何在这里实施授权方案（可能使用现有的模式或技术）开始。

我应该如何以及何时保护模块，并检查用户在该模块上执行操作的授权？

我尚未实现此功能，但是这是我想到的一种方法：

1. 用户单击一项操作：模块：客户| 操作：添加
2. 在点击事件中，我查看了用户的角​​色，我确认用户可以执行该操作，然后触发该操作或相应地指导用户。

请原谅这个问题的本质。 我不确定在这里问什么。

我希望了解人们如何处理授权，以及人们如何允许/禁止访问业务方法。 我不确定声明安全性是我所需要的，还是我上面提供的简单示例是否可行。

我这里有很多选择，而且可能性似乎是无限的。 请让我知道是否可以使用任何模型或模式来处理应用程序内部的授权。

Answer 1

如果您想要那样，那就从小处开始。

首先按照public bool User.HasRightsFor(Module m, Action a)重载功能。 它甚至可以是静态的，因为您可以从系统中获取当前用户。

然后，您可以简单地询问用户是否有权使用当前操作/模块/任何内容，并采取相应的措施。

它与您当前所想到的非常相似，除了我不会先看角色然后进行裁切，而是直接返回结果。 您可以稍后解决内部问题，并且系统将更易于修改。

您可以轻松地将此类系统与ASP.NET 基于角色的授权集成在一起。

Answer 2

我知道我的答案是后来者，但我想指出的是，在您具有动态访问控制需求的情况下，例如您描述的具有多个属性/参数的需求，您想考虑基于属性的访问控制（ABAC）和实现ABAC的可扩展访问控制标记语言（XACML）。

您可以在以下两个参考站点上阅读更多信息：

• NIST在ABAC上的网站 。
• OASIS XACML技术委员会

使用XACML，您可以定义以下策略：

• 客户可以支付自己拥有的账单
• 客户可以查看分配给他们的帐单以及分配给负责人的帐单（例如儿童）
• 客户代表可以管理代表所在地区的账单
• ...

Answer 3

您是否看过Microsoft的AzMan授权管理器 ？

它包含一个用于编程以询问操作的API和一个gui（azman.msc），您可以在其中定义角色和映射权限，并将其存储在xml文件中。

因此，您可以在方法中定义一个AzMan操作“ CustomerAdd”，而不是定义模块+操作（“客户”加“添加”）。