金字塔基於角色的訪問控制

Question

我正在考慮使用金字塔來構建中等大小的Web應用程序。我需要執行RBAC。什麼是最好的選擇？是否有可能使用Zope組件？

Answer 1

井金字塔實現了一個ACL的授權政策，將主體映射到權限。

1. 委託人可以配置您的意思，無論您喜歡什麼，並且來自請求（用戶）本身。
2. 權限是附加到單個視圖或「操作」的字符串。

也許我錯了，但RBAC似乎很適合這個想法。據我所知，RBAC往往更像是一項全球政策，而ACL通常是上下文相關的，因此也與數據相關。這不是一個真正的問題，而是取決於你打算如何構建應用程序的其餘部分。

你也可以簡單地實現你自己的RBACAuthorizationPolicy。在金字塔中，它將通過主體和許可，並從那裏您可以查詢您的訪問映射，以確定是否返回該用戶的Allowed或Denied值。