角色、权限与数据范围
RESTful API、JWT 与权限认证#Python全栈#第十三阶段#RESTful API、JWT 与权限认证#角色、权限与数据范围约 704 字 · 2 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
RBAC、ABAC 和基于资源归属的授权有什么区别？
追问 管理员、教师、学生与题目创建者的规则分别怎样表达？什么时候角色判断不足以覆盖业务？
scope、role 与 permission 应如何分工？
追问 scope 更接近令牌授予的操作范围，角色是业务身份，permission 是细粒度能力；如何避免多个字段表示同一事实却互相矛盾？
怎样设计当前用户依赖或中间件？
追问 提取凭据、验签、加载用户和检查活跃状态分别放在哪一步？未登录与无权限应返回什么状态？
资源级授权应在哪里执行？
追问 查询列表、详情、编辑、删除和批量操作如何都限定当前用户可见范围？为什么只在前端隐藏按钮不够？
多租户系统中的 tenant_id 应如何防止串租户？
追问 令牌中的租户声明、当前用户所属租户和 URL 中租户参数怎样相互校验？数据库查询如何形成默认安全范围？
管理员绕过普通数据范围时，应该如何显式表达？
追问 超级管理员、支持人员和审计人员权限是否应分开？“管理员看全部”如何避免成为所有代码中的隐式 if？
权限变更后，长寿命令牌中的旧权限如何处理？
追问 每次请求查最新权限、版本号失效和短令牌各有何成本？何时适合令牌中的 scope，何时只放用户标识？
批量接口如何检查每一项资源权限？
追问 提前查询可见 ID、逐项授权和统一失败反馈怎样选择？部分成功响应如何避免泄露哪些 ID 存在？
如何避免越权访问带来的资源枚举？
追问 不存在与无权资源是否需要统一响应时间和状态？审计日志如何帮助发现反复尝试不同 ID 的行为？
授权失败时，如何向前端提供可行动但不泄露过多的信息？
追问 登录失效、权限不足、资源不可见和策略暂时不可用如何区分？错误消息与日志详情应分别包含什么？