Ребят, сейчас поймал себя на мысли, что в моем одном...

All posts cauf's posts Post Back to profile

Ребят, сейчас поймал себя на мысли, что в моем одном проекте дыра в системе ролей и доступов.

У пользователя есть доступы. Для каждого действия проверяется наличие соответствующего доступа. Но это не достаточная проверка. Надо еще проверять и на наличие пользователя в той или иной команде...

Но тут есть одна загвоздка. Пользователь, теоретически, может состоять в нескольких командах. В одной у него роль с правами выше, чем в другой. При проверки права на действие сперва проводится проверка наличия пользователя в команде, а затем наличие доступа. Вот только доступ может быть от другой роли в другой команде.

Что подскажите? Как такой исклюючать? Прривязывать роли не к пользователю, а к отношению пользователя и команды? Или какие вообще есть практики?

Like 9 March at 21:24 | Open on lor.sh

14 comments

Rubikoid

@cauf звучит, как очень странный RBAC

А есть возможность взять нормальную формально доказуемую систему контроля доступа, а не roll your own?

9 March at 21:40 | Open on social.rubikoid.ru

WildTuna 🇷🇺

@rubikoid @cauf да не, чего то странного не вижу. Команда тут по сути как компания, если система с несколлкими юриками. Да, тут нужно права проверять в связке с командой в этом случае. По сути жта связь уже есть, так как один юзер может иметь разные права в командах.

9 March at 22:15 | Open on social.exo.icu

Rubikoid

@wildtuna @cauf формальной политике в целом не очень важно, компании или юрики там.

Я не до конца понял, что именно описывал cauf, но у меня сложилось впечатление, что там какой-то конструкт на тему multi-tenant rbac - т.е. есть разные tenan’ы, в них есть роли, роли назначаются юзерам.
Ну м соответственно есть какие-то ресурсы.
Родь регулирует возможность доступа пользователя к ресурсу.

Если cross-tenant доступ к ресурсам не нужен, то кажется, что решается просто - достаточно при доступе к ресурсу из определенного tenant’а проверять только роли из этого же tenant’а.

@wildtuna @cauf формальной политике в целом не очень важно, компании или юрики там.

Expand text...

9 March at 22:25 | Open on social.rubikoid.ru

WildTuna 🇷🇺

@rubikoid @cauf я думаю ты правильно понял, но я думаю полей там нет, только права. И в этом и проблема что проверяется сначала сущность команда, а потом просто права без привязки у команде.