黑客业务

24小时接单的黑客,黑客业务,黑客怎么找,网络黑客,黑客技术

应用层安全架构设计-访问控制

本文转载自微信公众号「JAVA日知录」,作者的单 。请联系我们转载本文。JAVA微信官方账号日知录。

权限控制,或访问控制,广泛应用于各种系统。抽象地说,它是一个主体(subject)对某个客体(object)某种操作需要实施(operation),系统对此操作的限制是权限控制。

在网络中,为了保护网络资源的安全,一般基于路由设备或防火墙IP以及端口的访问控制。

在操作系统中,访问和控制文件。例如,在操作系统中Linux在系统中,可以执行文件的操作分为“读”、“写”、“执行”这三个操作对应于三个主题:文件所有者、文件所有者所在的用户组和其他用户、主题、对象和操作之间的相应关系,构成访问控制列表。

在Web在应用决以下目标问题,可以实现常见的访问控制:

                   
  • 他是谁?
  •                
  • 他只能访问授予他权限的界面!
  •                
  • 他无法查看别人的数据!

以前后端分离项目为例,解释如何解决这些目标问题:

他是谁?

前端用户登录后端服务将在前端和后端分离项目中发布token,比如我们所知道的JWT(JSON Web Token),然后每次前端请求后端接口都会带这个token。由于JWT会有用户信息,这个时候我们要做的就是验证这个token对应用户是否为系统合法用户。

他只能访问授予他权限的界面!

只知道他是系统的合法用户还是不够,web应用还得保证当前用户只能访问他拥有权限的接口。

例如,有一个工资查询接口,只允许部门领导在业务上访问。如果系统不控制,张三知道工资查询接口,着自己的token调用这个接口,然后你就可以知道所有员工的工资了。我们称之为这个问题"越权访问"。

目前广泛应用于处理这个问题的一种方法是“基于角色访问控制(RBAC:Role-Based Access Control)”,也称“垂直权限管理”。

RBAC不同的角色将在系统中提前定义。不同的角色有不同的权限。一个角色实际上是权限的集合。系统中的所有用户都将被分配到不同的角色中。用户可能有多个角色。

当用户带着token在要求后端服务时,我们必须通过token查询当前用户的角色,然后根据角色查询用户的所有权限。权限框架 Spring Security 和 Shiro都是很好的支持RBAC控制。

他无法查看别人的数据!

张三和李四都是部门领导,他们都可以查询员工工资的权限。但他们只被允许检查自己部门员工的工资。张三知道接口调用规则,可以通过修改调用参数获得李四部门员工的工资,当然不允许。

在RBAC在模型下,系统只验证用户A是否属于角色RoleX,而不是判断用户A访问是否只属于用户B的数据DataB,因此,越权访问发生了。我们称之为这个问题“水平权限管理问题”。

目前,数据级权限管理还没有一个非常普遍的解决方案,通常是具体问题。

简单的方法是添加密钥到接口请求,通过接口参数 当前系统登录器加密到后端服务,后端接收请求解密加密内容,根据约定的规则分析用户信息和匹配登录用户,匹配正常访问,不匹配拒绝访问。

   
  • 评论列表:
  •  瑰颈莺时
     发布于 2022-05-28 15:49:02  回复该评论
  • bject)某种操作需要实施(operation),系统对此操作的限制是权限控制。在网络中,为了保护网络资源的安全,一般基于路由设备或防火墙IP以及端口的访问控制。在操作系统中,访问和控制文件。例
  •  余安路弥
     发布于 2022-05-28 17:56:36  回复该评论
  • ol)”,也称“垂直权限管理”。RBAC不同的角色将在系统中提前定义。不同的角色有不同的权限。一个角色实际上是权限的集合。系统中的所有用户都将被分配到不同的角色中。用户可能有多个角色。当用户带着token在要求后端服务时,我们必须通过token查询当前用户

发表评论:

Powered By

Copyright Your WebSite.Some Rights Reserved.