非 RBAC 用户角色和权限系统：检查用户所在城市

Question

我们目前正在我们的网络应用程序 (ASP.NET) 中设计一个用户角色和权限系统，并且似乎我们有几个案例 不适合经典的基于角色的访问控制(RBAC)。我将发布几个问题，每个问题专门针对一个特定案例，这是第一篇文章。

我们有以下情况：如果用户居住在特定城市，则不允许用户查看特定页面。这是一个简单的案例，编码方式如下：

if (User.City == “莫斯科”)
// 允许用户查看该页面。
否则
// 不允许用户查看此页面。

虽然这个案例非常简单明了，但它与 RBAC 无关。

在 StackOverflow 上，有人将此称为基于属性的访问控制。

在经典的RBAC下，似乎这个案例应该这样设计：引入一个权限“人居住的城市”，这个权限会有一个属性City。然后创建一个角色，为其添加“City=Moscow”类型的权限，并将角色分配给用户。看起来极其笨重。

问题是在我们的权限系统中引入这种非 RBAC 方法是否可以接受——这是否会破坏设计？

这似乎是一个原始问题，但我们发现大多数应用程序都使用纯 RBAC，并且我们开始认为我们可能做错了什么。

谢谢。

Answer 1

对于基于属性的访问控制来说，这将是一个很好的例子。但是，如果您不介意查看 PHP 实现，Zend Framework 有一个基于角色的访问控制，它使用断言来解决更多特殊情况：

http://framework.zend.com/manual/en/zend.acl.advanced.html

标准规则允许角色执行对资源的操作。第四个参数允许规则仅在满足某些条件时应用。在伪代码中：

allow(member, view, page) // standard
allow(member, view, page, userLivesInMoscow) // assertion used

断言是传递给用户的对象。它有一个方法来检查是否满足断言：

interface Assertion
 bool public function assert()

class UserLivesIn implements Assertion
 public function UserLivesIn(User, City) ...
 // implementation of assert method comes here

这是实现您需要的方法。