такую штуку - календари, таски и тд с разбивкой по группам. Хочу пользователям сделать доступ поресурсно - группа1/календарь, группа2/таски. Всю голову сломал как правильнее сделать аутентификацию и доступ к разрешенным пользвателю ресурсам. Планирую авторизацию, в jwt токен прописывать все разрешенные ресурсы, по ним уже запрашивать данные с проверкой прав рбак миддлварей. Но тогда и апи приобретет вид api/группа/календарь/.. Чет мне это не нравится. Или группу выкинуть и проверять права при запросе к базе? Как правильнее будет сделать? Есть более красивые решения?
Гуглите acl. В jwt доступы класть не нужно, так как jwt токен по спеке никак отозвать нельзя кроме как блокнуть. Отдавайте права отдельно от токена, например в поле scope.
У нас есть похожая система, мы там пользователям сделали группы, в базе у ресурсов прописано, какие группы имеют доступ, в токене пользователя его имя и набор групп
Обсуждают сегодня