基于角色的访问控制与金字塔

Question

我正在考虑使用Pyramid构建一个中等大小的Web应用程序。我需要实施RBAC。什么是最好的选择？是否可以使用Zope组件？

Answer 1

好的Pyramid实现了一个ACL授权策略，它将主体映射到权限。

1. 您可以将校长配置为您喜欢的任何内容，并且是从请求（用户）本身派生的。
2. 权限是附加到单个视图或“操作”的字符串。

也许我错了，但RBAC似乎非常适合这个想法。我知道RBAC往往更像是一个全局策略，而ACL通常是上下文的，因此附加到数据上。这不是一个真正的问题，取决于您计划如何构建应用程序的其余部分。

你也可以简单地实现自己的RBACAuthorizationPolicy。在金字塔中，它将传递主体和权限，然后您可以查询您的访问映射，以确定是否为该用户返回Allowed或Denied值。