几天前，我的一些同事向我咨询了一款名为Makaut Buddy的开源应用程序的问题，这是一个为我们大学设计的笔记共享平台，旨在帮助学生有效地分享顶级笔记、过去的考试问题和YouTube教程。

虽然他们成功开发了上传资源的系统，但他们在确保只有授权个人才能上传内容方面遇到了挑战。

如下面的演示所示，任何用户注册后都可以创建资源。这带来了一个大问题，因为我们无法监管用户上传的内容，有些用户甚至可能上传了有害或令人不安的内容。

https://youtu.be/NVyf_wb-WPE?embedable=true

最初，他们定义了一个管理员角色，并授予一组选定的个人管理权限。然而，随着角色数量的增加，代码变得越来越复杂，难以管理。

正是在这个时候，我有了写这篇文章的想法，旨在提高人们对使用基于角色的访问控制 (RBAC) 模型以及借助第三方授权工具（如Permit）来有效管理授权的方法的认识。

除了实施 RBAC 之外，我们还引入了请求访问批准系统。该系统确保任何想要上传内容的用户都必须先请求访问权限，然后管理员可以批准或拒绝。这一额外的安全层有助于我们维护 Makaut Buddy 上内容的完整性。

在本文中，我使用JavaScript作为编程语言，使用Next.js作为框架。但是，这里讨论的概念并不特定于语言，您可以使用自己喜欢的编程语言来实现它们。

阅读完本文后，您将了解如何在应用程序中实现基本的 RBAC 模型。

话虽如此，让我们开始吧！

什么是授权？

还记得那些匆忙赶往学校的早晨吗？保安检查你的身份证就是身份验证的完美例子。他们正在验证你作为获准进入校园的学生的身份。但这只是第一步。即使身份被确认，你也不会随便走进任何教室，对吧？这就是授权的作用所在。

将您的课程表视为您的授权。它根据您的角色（该课程的学生）授予您访问特定区域（教室）的权限。您无权进入教师休息室或图书馆的禁区 - 即使您是学生（经过身份验证）。

身份验证和授权之间的区别就像问“你是谁？”与“你可以做什么？”

为什么我们需要一个 RBAC 模型进行授权🤔？

授权在每个组织中都很重要，因为它可以防止个人执行未经授权的操作。这可确保组织的安全并有助于防止损失。

我们用一个例子来说明上面的说法：

在一家公司中，有一些经验丰富的高级工程师，也有一些仍在学习的实习生。你可以想象，如果高级工程师和实习生拥有相同级别的权限，将会导致多大的灾难。仍在学习的实习生可能会在不知情的情况下犯下一些错误，而公司将不得不为此付出代价。在这种情况下，基于角色的访问控制模型效果最好，因为权限不是分配给个人，而是分配给角色。例如，只有高级工程师或技术主管可以删除资源，而所有实习生只能查看和管理资源。

接下来，让我们看看如何在应用程序中实现 RBAC。

我如何在我们的开源项目中实施访问批准

About Author

註釋

標籤

这篇文章刊登在

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps