基于数据的访问控制 --- 服务器端

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了基于数据的访问控制 --- 服务器端相关的知识,希望对你有一定的参考价值。

举个例子,评论功能是一个非常常见的功能,用户可以在客户端发起评论,回复评论,查看评论,删除评论等操作。一般情况下,只有本人才可以删除自己的评论,如果此时,业务层面没有建立数据的访问控制,那么用户甲可以试图绕过客户端,通过调用服务端RESTful API 接口,猜测评论 ID 并修改评论 ID 就可以删除别人的评论。事实上,这是非常严重的越权操作。除此之外,用户之间往往也存在一些私有的数据,而这些私有的数据在正常情况下,只有用户自己才能访问。
 
基于数据的访问控制,需要业务层面去处理,但是这个也是最为经常遗落的安全点,需要引起重视。这里,再次使用删除评论的案例,通过 Java 语言进行介绍。在这个案例中,核心的代码片段在于,判断当前用户是否是评论的创建者,如果是则通过,不是则报出没有权限的错误码。那么,这样就可以很好地防止数据的越权操作。
 
@RestController
@RequestMapping(value = {"/v1/c/apps"})
public class AppCommentController{
 
  @Autowired
  private AppCommentService appCommentService;
 
  @RequestMapping(value = "/{appId:\\d+}/comments/{commentId:\\d+}",  method = RequestMethod.DELETE)
  public void deleteAppCommentInfo(@PathVariable Long appId, @PathVariable Long commentId, @AuthenticationPrincipal UserInfo userInfo)
  {
    AppComment appComment = this.appCommentService.checkCommentInfo(commentId);
    
     // 判断当前用户是否是评论的创建者,如果是则通过,不是则报出没有权限的错误码。
     if(!appComment.getUserId().equals(Long.valueOf(userInfo.getUserId()))){
      throw new   BusinessException(ErrorCode.ACCESS_DENIED);
    }
    this.appCommentService.delete(commentId);
  }
}
 
总结下,基于角色的访问控制一种垂直权限控制,通过建立用户与角色的对应关系,使得不同角色之间具有高低之分。用户根据拥有的角色进行操作与资源访问。基于数据的访问控制一种水平权限控制,它对角色内的用户做细分,确保用户的数据不能越权操作
 
基于数据的访问控制,需要业务层面去处理,但是这个也是最为经常遗落的安全点,需要引起重视。

 

以上是关于基于数据的访问控制 --- 服务器端的主要内容,如果未能解决你的问题,请参考以下文章

实现postfix基于客户端的访问控制

APache网站服务配置访问控制和构建虚拟主机

Java/MySql如何实现基于角色的访问控制?

ACL访问控制列表

ACL(访问控制列表)的分类和作用?

Djang之基于角色的权限控制(RBAC)