访问控制（RBAC），但不包括REST

Question

是否有任何访问控制方法可以自定义权限（排除特定用户的规则权限 - 对于RESTful Web服务）？

示例：

Mary扮演主管的角色，她可以创建和编辑帖子，但是我想删除创建帖子的权限，但保留Mary的主管角色。

  

用户：玛丽

     

角色：主管

     

权限：创建和修改帖子。

     

Intented： Mary是一位主管，无法创建帖子。

注意：我不想创建两个角色。系统管理员必须能够自定义用户的角色和权限（预定义）。我很感激PHP中的库的建议。

Answer 1

您需要的是一种基于规则的方法，您可以定义：

1. 主管可以创建和编辑帖子
2. 如果用户在黑名单中，则拒绝用户创建。

要做到这一点，请查看XACML或ALFA。我认为有一个PHP XACML库