基于角色的访问控制 - 我应该在数据库中也有权限列表还是只在代码中（例如枚举）？

Question

通常，在实现某种基于角色的访问控制时，我们有以下众所周知的概念：

• 角色
• 用户
• 权限

用户将被分配给每个角色，每个角色都有一组权限（执行操作/访问资源等）。 因此，用户通过被分配到一个或多个角色（已被分配一组权限）来获得执行操作的权限。

在任何给定的应用程序中，权限是在编译时定义的，因为代码实际上在访问资源的各个位置强制执行权限。

我的想法是，如果可能的权限/操作集发生变化 - 它需要以任何方式更改代码并重新编译，因此数据库中的查找/引用表不会真正提供任何价值，除了数据库管理员可以提供的事实之外执行快速 SQL 查询以列出应用程序使用的所有权限。

然而，我见过的大多数应用程序都会为权限创建一个查找表，并将其映射到代码中的枚举。

鉴于此，是否有任何理由实际上有一个代表可能权限列表的数据库表（除了事实之外，对于某些人来说，查看数据库可能比深入代码查找列表/枚举更容易）权限）？

Answer 1

清单：
1) 您是否需要在网站在线且不停机的情况下进行更改？
2) 您会使用内置角色/会员资格提供程序吗？
3）你想使用属性（如mvc [Authorize]）等？
4) 您希望允许用户以编程方式更改权限/角色？

上述任何一个都意味着你必须将信息存储在数据库上。

对于较小规模的应用程序，我更喜欢只创建一些也使用某种继承的静态方法，即：

 isadmin()
 {
     if (usernameArray.Contains[currentname]) 
         return true;
     [...]
 }

 ispublisher()
 {
    if (isadmin()) return true;
     [...]
  }

以及一个具有每个用户伪类权限的表。

更新：特定访问的数据库架构：（* 是键，& 是外键）

 Users:
 Username *
 [...]


 UserClasses (EG: admin...)
 ID *
 description

 AccessTypes  (EG: can delete)
 ID *
 description

 UserClassesAssign
 classid *&
 username *&

 AccessPerClass
 accessid *&
 classid *&

因此，每当您想查看“用户名”是否能够“CanDelete”时，您都必须检查用户是否“ username' 链接到任何链接到访问“CanDelete”的类，这些链接当然可以在运行时更改