Всем привет. Есть определенная проблема с проверкой доступа, выше я

Question

Всем привет. Есть определенная проблема с проверкой доступа, выше я

скинул пример миделвари для проверки прав.

Какая проблема:
сейчас каждый пользователь который имеет доступ к simple story может ее менять, а мне нужно чтобы это делали только те, кто имеет атрибут updateAny или тот, кто является владельцем этого ресурса. Посоветовать, как это можно сделать елегано?

#backend #javascript #node.js #programming #russian

0

04.06.2022

11 ответов

13 просмотров

Rusiq

Рбак-абак и вот это вот все

0

04.06.2022

Taras Ivaniuk Автор вопроса

Rusiq
Рбак-абак и вот это вот все

Не понял

0

04.06.2022

Rusiq

Taras Ivaniuk
Не понял

🤷‍♂️

0

04.06.2022

Taras Ivaniuk Автор вопроса

Артем
Типа проверка абилити у пользователя? Ну просто за...

Роли хранятся в jwt, сказали что пока нет необходимости это держать в БД, также предлагал это. Из того что мне не нравится это то, что на каждый модуль нужно будет писать какой-то свой миделвар для проверки, можно ли это как-то в сервисах делать?

0

04.06.2022

Taras Ivaniuk Автор вопроса

Артем
Типа проверка абилити у пользователя? Ну просто за...

Советовали так но ничего не понял Как вариант, checkPermission({user: currentUser, entity, ownershipCheck: async() => {…}}) Можно реализовать подобный метод 1. проверяешь роль 2. если роль имеет доступ только для *:own тогда запускаешь ownershipCheck (опциональная, по дефолту false) Ну что-то такое Но мне кажется что там модна все проще и не оверинженирить.

0

04.06.2022

Артем

Taras Ivaniuk
Роли хранятся в jwt, сказали что пока нет необходи...

Сделай класс, который будет принимать json-файл с ролями и списком доступных ему ресурсов и при обращении проверяй. Типа "роль экспрет — доступ к таким-то ресурсам"

0

04.06.2022

Taras Ivaniuk Автор вопроса

Артем
Сделай класс, который будет принимать json-файл с ...

По идее так и работает, только нет проверки на владельца ресурса.

0

04.06.2022

Артем

Taras Ivaniuk
По идее так и работает, только нет проверки на вла...

Ну ты же как-то можешь определить кто владелец? Просто сделай исключение для чела с owner доступом. Как отдельную роль, со списком id ресурсов.

0

04.06.2022

Алексей Попов

casl заюзать

0

04.06.2022

Taras Ivaniuk Автор вопроса

Алексей Попов
casl заюзать

У нас аналог https://www.npmjs.com/package/accesscontrol

0

04.06.2022

Артем · Accepted Answer

Типа проверка абилити у пользователя? Ну просто задай проверки и закешируй его обращение к ресурсу, чтоб другие пользователи не лезли в базу. Можно просто хранить после Role в JWT, но это плохая практика, обычно. (Но никто не мешает, на самом деле и в случае чего просто сменить токен на сервере)

170 похожих чатов

Всем привет. Есть определенная проблема с проверкой доступа, выше я

11 ответов

Похожие вопросы