roles - 如何在 "User can delete his own posts"模型上实现 "Role-based access control"？

Question

<分区>

Answer 1

我不太清楚你要解决什么问题。你总是必须“硬编码”一些东西，因为你需要定义谁可以访问什么。如果您决定某些东西应该在控制系统中，它也不会超出控制系统，这实际上取决于您的实现。

对于您想要做的事情，我通常会定义一个“所有者”角色，然后定义一个访问权限，例如:

"owner" can "delete" "resource"

因此必须有一些程序部分，您可以在其中确定用户是否确实是所有者。通常，这可以通过将每个资源与例如“ownerId”属性相关联来完成。如果userId == ownerId，那么当前用户的角色就是“owner”。