Контроль доступа и запросы XHR

Я имел дело с той же проблемой в прошлом году, и вот как я решил ее.

Прежде всего, я использовал библиотеку ACL Zend Framework в качестве базового движка. чтобы сообщить мне, есть ли у какого-либо пользователя доступ к какому-либо ресурсу. Поскольку ZF уже поддерживает группировку пользователей и роли (включая иерархию ролей), вам больше не нужно об этом беспокоиться.

Если оставить в стороне группировку пользователей и роли, следующей будет группировка ресурсов, которую ZF не поддерживает внутренне (к сожалению). И я считаю, что это часть вашего вопроса касается. Тем не менее, вы можете использовать ZF и расширять его в соответствии со своими потребностями. Все, что вам нужно сделать, это придумать механизм группировки ресурсов (плоский или иерархический). Затем вы можете использовать ZF, как указано в их руководстве.

Вот пример того, как это сделать:

1. Создайте механизм ACL и другие базовые объекты:

   $acl = new Zend_Acl();
   
   $acl->addRole(new Zend_Acl_Role('guest'))
       ->addRole(new Zend_Acl_Role('member'))
       ->addRole(new Zend_Acl_Role('admin'));
   
   $parents = array('guest', 'member', 'admin');
   $acl->addRole(new Zend_Acl_Role('someUser'), $parents);
   

2. Определите группу ресурсов:

   $resources = array(
       'group 1' => array(
           'resource 1'
           , 'resource 2'
           , 'resource 3'
       )
       , 'group 2' => array(
           'resource 1'
           , 'resource 4'
           , 'resource 5'
       )
   );
   

3. Представьте свои ресурсы механизму ACL:

   function addResource(Zend_Acl $acl, $resources, $groupName)
   {
       foreach ($resources[$groupName] as $resource) {
           $acl->add(new Zend_Acl_Resource($resource));
       }
   }
   
   addResource($acl, $resources, 'group 2');
   

4. Используйте механизм ACL для запроса разрешений:

   echo $acl->isAllowed('someUser', 'resource 1') ? 'allowed' : 'denied';
   

Как видите, я ничего особенного здесь не делал. Единственная новая концепция, представленная здесь, заключалась в том, что ресурсы, добавляемые в механизм ACL, отличались от тех, которые использовались для запроса. Но это было сделано за уровень до того, как мы фактически вызвали библиотеку ZF, поэтому вызовы для запроса ACL ZF все еще работают.

Надеюсь, я смог четко изложить свою точку зрения. И не забывайте, что я просто пытаюсь дать вам концепцию, вам нужно придумать реальную реализацию самостоятельно.

Почему бы просто не добавить в таблицу resources новый столбец с именем descendants, в котором будет храниться массив зависимых ресурсов xhr? Таким образом, это может выглядеть так:

resource: "invoices/list"
descendants: ["invoices/xhr_get_total_amount"]

resource: "orders/list"
descendants: ["orders/xhr_get_positons_for_order","orders/xhr_get_some_other_data"]

resource: "users/new"
descendants: []

Кроме того, если еще не реализовано: вы можете получить и обработать весь список разрешенных ресурсов и их потомков в один массив в начале запроса и хранить их до ответа. Таким образом, вы не будете спрашивать базу данных каждый раз, когда вам нужно что-то проверить или получить доступ.

Я знаю, что не отвечаю прямо на ваш вопрос, но, возможно, я могу направить вас по несколько иному пути, который станет намного более гибким, когда ваш веб-сайт станет больше и сложнее. После того, как я прочитал этот пост Я переключил свою систему аутентификации на основе действий (разрешить действие "doSomething"), а не на основе ролей ("администратор" может делать следующее....).

Просто мысль.

Предпочтительно использовать не *, а домен, который запрашивает файл. * не работает в какой-то версии IE (не помню какой).

if ($ref_url)
  header("Access-Control-Allow-Origin:"+$ref_url);
else
  header("Access-Control-Allow-Origin:*");