MVC 框架、API 层和身份验证/权限

发布于 2024-10-19 07:36:29 字数 615 浏览 2 评论 0原文

我之前问了一个问题，但它可能太模糊或广泛以保证答案。从那时起，我重新考虑了我的方法和我的问题。

我正在开发一个考虑到特定应用程序的框架，但显然我将可重用性放在首位。该框架的关键要素是公开 API 层，用于 JSON 驱动的远程交互。

我在计划这个问题时遇到的问题是身份验证/权限。 如果我在设计时考虑了 MVC 风格的架构，但又想允许通过 API 层使用，那么身份验证/权限检查应该在哪里进行？

Web 访问层本质上与 API 相同层，唯一的区别是输出方法（HTML 与 JSON），因此我认为两者的通用业务逻辑层是有意义的。请求将被标准化为数据结构，并发送到业务逻辑。业务逻辑最终会产生一个结果数据结构（查询结果、失败、成功等），该结构要么馈送到模板引擎，要么序列化为 JSON。

在我看来，权限检查需要在公共业务逻辑层中执行，但是是否有更好的地方将其合并到 MVC/API 框架中？

我现在不知道还能在哪里详细说明，所以请随时询问更多详细信息，我会在想到后提供。

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

千纸鹤带着心事 2024-10-26 07:36:29

您打算如何允许用户访问 API？

以下是我如何进行基于角色的授权：

每个控制器通常有多个前端可以访问的操作（方法），例如
- 函数action_get($id)
- 函数action_delete($id)

每个控制器都有一个类属性，指定每个操作需要哪些角色，例如

受保护的$access = array(
    '得到' => NULL, // 每个人都可以访问;不过这条线不是必需的
    '删除' => array('admin') // 只有管理员可以访问
)

before() 方法在执行操作之前被触发。它根据 $access 列表进行授权检查。
每个操作负责确定要输出的内容，例如，

public function action_get($id) {
      // Business logic... build data structure
      # ...

      if (Request::is_ajax()) {
          // Output JSON
      }
      else {
          // Output HTML
      }
  }

该系统可以轻松扩展以允许 API 调用。要么扩展该方法的输出部分，检测它是否是 API 请求，要么只是专门为 API 调用创建另一个操作。如果您选择后一种方法并希望保持代码干燥，请将数据结构的业务逻辑移至辅助方法（例如受保护的函数_get()）。可能还有更好的方法来提供对 API 的访问和处理 API。这实际上取决于您希望如何允许访问以及您希望使其变得多么灵活/干燥。

How do you plan on allowing users to access the API?

Here's how I do role-based authorization:

Each controller typically has multiple actions (methods) that are accessible to the frontend, e.g.
- function action_get($id)
- function action_delete($id)

Each controller has a class property that specifies which roles are required for each action, e.g.

protected $access = array(
    'get' => NULL,  // everybody can access; this line isnt necessary though
    'delete' => array('admin')  // only admins can access
)

A before() method is fired before executing an action. It does the authorization check based on the $access list.
Each action is responsible for determining what to output, e.g.

public function action_get($id) {
      // Business logic... build data structure
      # ...

      if (Request::is_ajax()) {
          // Output JSON
      }
      else {
          // Output HTML
      }
  }

That system could easily be expanded to allow for API calls. Either expand on the output portion of the method, detecting if its an API request, or simply create another action specifically for the API call. If you choose the latter method and wish to keep your code DRY, move the business logic for the data structure to a helper method (e.g. protected function _get()). There may be better ways of providing access to and handling the API as well.. it really depends on how you want to allow access and how flexible/dry you want to make it.

回复收藏 0 原文