如何保护我的ColdBox应用程序？

Question

我正在使用ColdBox完成我的第一步，我只是被困住了。我有两个数据库表，用户和公司，每个用户属于一个公司。用户登录应用程序后，他可以列出每个公司，但只能编辑他所属的公司。

那么如何管理用户只有他公司的编辑链接？我应该如何保护公司处理程序和编辑操作？

我正在使用ColdBox VirtualEntityService和Coldfusion ORM。我应该在UserService中编写一个验证用户权限的函数吗？

Answer 1

您的编辑权限应该以某种方式成为会话的一部分，并且您的视图应该包含一些逻辑，以使公司“可编辑”并显示编辑链接。当然，当某人实际使用编辑链接以确保他们确实拥有所需的权限时，您的控制器将需要仔细检查用户权限。

这似乎是一种“标准逻辑”问题，并没有与Coldbox有太多关系。我不是CB专家，但我认为CB没有专门处理你案件的东西。这只是编写好的控制器和验证代码，并确定在用户会话中存储的内容。