設計思考:URL到底表徵的是資源還是操作?

bgpx發表於2004-12-21
在WEB安全管理中,URL常常是訪問控制的主要手段.在國內關於安全管理的討論中,關於URL表徵的實際語義不同的設計師有不同的看法.按照RBAC標準,許可權係指基於某個特定資源上的特定操作.國內的一些安全系統設計師把許可權分為操作許可權和資料許可權.

實際專案中存在的例子是資料許可權(或業務許可權)跟功能許可權緊密關聯.比如:對於倉庫管理模組: 允許A B 兩個角色具備修改倉庫定義的許可權,允許A B C三個角色擁有檢視倉庫資訊的許可權. 在這裡修改和查詢是相應的操作許可權,具體的倉庫我見到的實際專案中將其作為資料許可權來處理. 使用者能不能達到查詢倉庫資訊的目的往往體現在一個URL對應的訪問能不能被允許?

現在的問題是:URL到底是操作還是資源?如果是資源,那麼上面例子中的倉庫是什麼東東? 如果是操作,那麼對於一些不需要業務許可權控制的功能,這又如何解釋?

相關文章