Phân quyền theo phạm vi: vì sao “ẩn menu” là chưa đủ
Một giáo viên có thể vừa dạy lớp A vừa quản lý phòng máy B. Phân quyền phải đến từng bản ghi, kiểm tra ở máy chủ, không phải ở nút bấm.
Vai trò không đủ, cần thêm phạm vi
RBAC truyền thống trả lời "ai được làm gì". Trường học cần thêm "trên dữ liệu nào": tổ trưởng chỉ sửa nhân sự tổ mình, người phụ trách cơ sở chỉ quản lý tài sản cơ sở mình.
Kiểm tra ở máy chủ cho mọi request
Ẩn menu chỉ là trải nghiệm. Nếu backend không kiểm tra lại, ai đoán đúng đường dẫn vẫn đọc được dữ liệu. Nguyên tắc: mọi route đều gọi kiểm tra quyền trước khi chạm dữ liệu.
Một tài khoản – nhiều vai trò – nhiều phạm vi
Cùng một người có thể có nhiều bản ghi gán vai trò với phạm vi khác nhau. Đây là thiết kế có chủ đích, không phải trùng lặp.
Tác giả: ctsadmin, Lê Biên Tập
Ý kiến bạn đọc
Những tin mới hơn
Những tin cũ hơn