基於角色的訪問控制與金字塔

Question

我正在考慮使用Pyramid來構建一個中等大小的Web應用程序。 我需要實施RBAC 。 什么是最好的選擇？ 是否可以使用Zope組件？

Answer 1

Well Pyramid實現了ACL授權策略，該策略將主體映射到權限。

1. 您可以將主體配置為您喜歡的任何內容，並從請求（用戶）本身派生。
2. 權限是附加到單個視圖或“操作”的字符串。

也許我錯了，但RBAC似乎非常適合這個想法。 我知道RBAC往往更像是一個全局策略，而ACL通常是上下文的，因此附加到數據上。 這不是一個真正的問題，取決於您計划如何構建應用程序的其余部分。

您也可以相當簡單地實現自己的RBACAuthorizationPolicy 。 在Pyramid中，它將傳遞主體和權限，然后您可以查詢訪問映射以確定是否為該用戶返回“ Allowed或“ Denied值。