身份验证＆amp;授权 - 今天的实践

Question

我即将实施身份验证＆amp;我的项目中的授权，使用设计，cancan，并且很可能是rolify。我的问题并不围绕这些问题的实施，而是在更大范围内，人们如何在今天的世界中实现完全认证和授权，基于角色的访问系统。

我的问题：

1. 应用程序通常是否具有一种身份验证模型（用户），并且具有基于授权角色的后端管理仪表板访问权限？即如果role = X，则可以使用指向仪表板的链接，所有其他人都可以访问此仪表板。
2. 如果＃1是一个理想的解决方案，那么如何应用程序需要更严格的“人员”（使用仪表板访问）和一般“用户”的密码？我可以轻松地用2个模型完成这个，但后来我偏离了上面的概念。

OR

1. 应用程序通常有两个模型，比如Personnel和User，其中Personnel有一个完全独立的身份验证模型（以及一组相应的授权，即Admin vs. SuperUser）？
2. 如果以上是理想的解决方案，您是否要求“人员”有两个单独的登录名，以便与应用程序的用户端和管理员面板（仪表板）进行交互？

Web应用程序的管理面板是否可以在网络上生存？或者他们是否坐在某个内部网上，通过VPN访问以及所有这些？

我试图了解这一切在今天的世界中是如何运作的。也许我在想这个。

真的很感激这里的概念帮助。您对自己的过程的输入肯定有助于解释您为什么可以给予的！

更新

让我稍微改变一下这个问题的范围。我意识到我可以使用VPN来运行面向公众的应用服务器与非公共服务器。管理小组显然会生活在非公众面前。

有没有人有关于如何配置Rails应用程序以获得这些分层图层的任何资源信息？如何设置乘客配置文件以使管理部分在非公共服务器上运行？

Answer 1

我无法回答你提出的更大问题（但我对答案很感兴趣）但是你可能会更好地使用CanCanCan，因为CanCan不再能够得到控制 - 皮埃尔