标签: authorization

如何在不设置[/]*= r的情况下使用show log功能(读取所有人/所有内容).

我的authz文件中有几个组.它看起来像这样:

[groups]
Profs = dave,bruno,franck
Team1 = 1036091,1036103,1036087
Team2 = 1016059,1016077
[/GSS]
@Team1 = rw
[/Booking]
@Team2 = rw
[/]
@Profs = rw

当我添加

[/]
* = r

在文件中,显示日志功能有效.但是,这可以访问所有存储库中的所有人.

这个相关问题尚未得到解答.

我只是想知道在spring security 3中使用ACL和基于 Spring 角色的授权之间的区别？

如何在httpc:request()函数的http请求中为客户端授权指定用户/密码？

我有一堆控制器和相关的视图需要对它们应用基于角色的身份验证.我正在考虑在其上安装一个带有[authorize]属性定义的基本控制器,以便我可以让所有从该基类继承的控制器在登录后才可用.我测试过这个工作.我不确定这是否是最好的做法,或者这种方法是否会有任何陷阱.

将来,我需要只有特定角色的用户才能访问某些页面.角色列表将来自数据库表.因此,我只是在它继承的基本控制器中进行更改,而不是更改所有相关的控制器.这是正确的做法吗？

谢谢你的时间.

我正在开发ASP.Net Web API应用程序,我使用AuthorizeAttribute进行身份验证.当身份验证失败时,执行的代码就是这个.

protected override void HandleUnauthorizedRequest(HttpActionContext actionContext)
    {
        HttpContext.Current.Response.AddHeader("AuthenticationStatus", "NotAuthorized");
        actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.Forbidden);
        return;
    }

此代码导致从浏览器显示未授权的请求页面,但我想要的是显示我设计的自定义页面.我怎么做？任何帮助表示赞赏.

提前致谢.

我已经看到AuthoriseAttribute可以为每个单独的控制器工作,我想要做的是将整个站点权限设置为一个AD组,这很容易做或者我应该只将authattrib行复制并粘贴到每个控制器？

谢谢

目前,我的Web应用程序的所有用户都通过stormpath进行身份验证.从现在开始,该Web应用程序将需要使用Apigee上托管的rest api.在这里开始我的怀疑.Apigee通过oauth2.0授予对API的访问权限.那很棒.但是,我想知道我是否能够在Stormpath服务中保留当前的webapp身份验证.我不是Oauth的专家.因此,我不确定在Stormpath中进行身份验证是否可行,然后在Apigee中请求一个AccessToken.WebApplication将具有客户端凭据以请求访问令牌.直截了当:用户是否可以在第三方服务中进行身份验证,并且仍然可以获得Apigee托管的Rest API的Oauth访问令牌？

非常感谢.

我有一个Accounts资源(模型+控制器).目前,其AccountsController前面的所有操作都是authorize_admin before_action,它检查用户是否是管理员,如果不是 - 它将用户重定向到home_path.

我现在想要做的是允许用户编辑自己帐户的某些字段.我不知道该怎么做.我有几个想法:

1. 在同一个帐户控制器中创建自定义edit_personal_account和update_personal_account操作,使用自定义personal_account_params(Rails 4,强参数).在personal_account_params我将permit只允许用户编辑的字段.

2. 创建一个新的PersonalAccounts正常宁静的动作控制器,但只edit,update和show.该控制器将再次与Account模型交互.

3. 使用像cancancan或的宝石pundit.我已经浏览了他们的文档和wiki,但到目前为止,我只找到了如何根据角色限制对整个操作的访问的示例,而不是如何限制对特定字段的访问.

所以我的问题是 - 这三种方式中哪一种最适合我的情景,还有其他更好的方法吗？

我已经创建了控制器类来协助角色授权.

我有一个基类ControllersAuthorities,这是最高级别的权威.我已经创建了其他类来扩展每个基类.

[Authorize(Roles = "Owner")]
public abstract class ControllerAuthorities:Controller { }
[Authorize(Roles = "Admin")]
public abstract class AdminController:ControllerAuthorities { }

[Authorize(Roles = "Employee")]
public abstract class EmployeeController:AdminController { }
[Authorize(Roles = "Sales")]
public abstract class SalesController:EmployeeController { }

第一个问题,请问Owner,Admin和Employee角色可以访问SalesController？

在我的项目控制器中实现这些类时.如果我离开[Authorize]uncommented,这会覆盖继承的权限角色吗？

//[Authorize]
public class AccountController:ControllerAuthorities
{

在此事先感谢您的帮助!

我希望有人可以帮我弄清楚如何通过Auth0授权扩展中分配的组来授权API访问.

我目前正在使用web api中的[Authorize]属性 - 它允许api调用,如果他们已成功登录并阻止它,如果没有.

但是,如果我尝试[Authorize(Roles ="myGroupName")]授权失败.如果我在Auth0网站上的用户仪表板中手动将其添加到用户app_metadata而不是通过扩展程序分配,则会出现相同的情况.

我的项目是通过遵循Angular Quick Start和Asp.Net Quick Start来设置的.我验证令牌服务器端的webapiconfig是:

 class WebApiConfig
{
    public static void Register(HttpConfiguration configuration)
    {
        var clientID = WebConfigurationManager.AppSettings["auth0:ClientId"];
        var clientSecret = WebConfigurationManager.AppSettings["auth0:ClientSecret"];

        configuration.MessageHandlers.Add(new JsonWebTokenValidationHandler()
        {
            Audience = clientID,
            SymmetricKey = clientSecret
        });

        configuration.Routes.MapHttpRoute("API Default", "api/{controller}/{id}",
            new { id = RouteParameter.Optional });
    }
}