我想知道人们在多用户应用程序中为用户分配权限与业务逻辑之间的界限。
例如，如果用户有权访问多个汽车，您是通过将用户类添加到用户的汽车对象集合中直接通过用户类分配这些权限，还是在ACL中分配这些权限并使用用于检索用户有权访问的汽车列表的ACL？
是否有任何关于何时应该将ACL用于此类事情以及何时应该成为业务逻辑的一部分的准则？
答案 0 :(得分：0)
正常做法是“基于角色的安全性”。
例如，您可以设置两个角色“salesperson”和“maintainence”。
“销售人员”会考虑驾驶，加油和停放一套汽车。
“维护”人员可以驾驶，维修和修理这套汽车。
您可以将员工分配给其中一个或另一个角色。