Разрешения ACL и бизнес-логика

Question

Я хотел бы знать, где люди проводят границу между назначением разрешений пользователю в многопользовательском приложении и бизнес-логикой.

Например, если пользователь может иметь разрешение на доступ к нескольким автомобилям, назначаете ли вы эти разрешения непосредственно через класс пользователя, добавляя их в коллекцию автомобильных объектов на пользователя, или вы назначаете их в ACL и используете ACL для получения списка автомобилей, к которым у пользователя есть доступ?

Существуют ли какие-либо рекомендации относительно того, когда следует использовать ACL для такого рода вещей и когда он должен быть частью бизнес-логики?

Answer 1

Обычная практика - это «безопасность на основе ролей».

Например, вы можете установить две роли: «продавец» и «сопровождение».

«Продавцы» будут иметь разрешение на вождение, заправку и парковку автомобилей.

«обслуживающие» сотрудники имели бы право управлять, обслуживать и ремонтировать комплект автомобилей.

Чем бы вы отдали своих сотрудников на ту или иную роль.