2

Estou a desenvolver um sistema em que suas permissões de usuários serão baseadas no modelo RBAC,

inserir a descrição da imagem aqui

um usuário poderia estar em diversos regras de permissões que dariam ou não privilégios ao sistema, ao cadastrar um novo usuário o usuário a ser cadastrado herdaria as permissões do usuário que esta cadastrando, como impedir que o usuário que esta sendo cadastrado não possa excluir um usuário que esta em uma hierarquia acima da dele(segundo o negocio) ou remover este usuário de regras que influencia em sua hierarquia no sistema. Por exemplo

 João(Usuário)
    ->Diretoria(Regra)
       ->cadastrar usuários(Permissão)
       ->excluir usuários(Permissão)

 Fernando(Usuário)
    ->RH(Regra)
       ->cadastrar usuários(Permissão)
       ->excluir usuários(Permissão)

Do ponto de vista do negocio(Mundo real) Diretoria esta acima de RH na hierarquia mas no modelo RBAC é uma abstração interpretada pelo usuário que os criou! como impedir por exemplo que Fernando exclua o diretor João? simplesmente por ambos terem a mesma permissão(excluir usuários)! uma solução seria escrever no programa que o usuário só excluísse ou modificasse os usuários da mesma regra, mas neste caso o diretor da empresa não poderia excluir ninguém! ou ele teria que estar em todos as regras e se ele estivesse também poderia ser excluído por outro usuário, outra solução seria registrar um histórico para cada usuário informando quem é seu pai(usuário que o criou) e assim por diante neste caso eu escreveria no programa que o usuário não pode tirar privilégios de seus pais, este seria um jeito de representar a hierarquia, mas ainda sim não ficaria perfeita pois um diretor poderia ser cadastrado paralelamente a um usuário comum e esta regra não se aplicaria a ele.

existe algum modelo ou solução que possa ser combinado com este para dar alguma hierarquia(do ponto de vista do negocio) as regras, como poderia ser representado no banco de dados relacional?

1 Resposta 1

4

Eu acho que você está misturando um pouco as coisas. O RBAC não foi feito para gerenciar permissões com esse nível de complexidade, apenas para dizer se tal usuário tem permissão para executar a ação X ou não. A ação X pode ter suas regras de negócio próprias, isso é externo ao RBAC.

Por exemplo, se você possui um sistema onde cada um tem um e-mail, cada usuário teria a permissão de ler seu e-mails, de enviar novos e-mails, etc. Mas cada usuário só pode acessar seu próprio e-mail, não o dos outros. É a responsabilidade da ação "listar e-mails" garantir que a lista retornada esteja restrita àqueles dados que o usuário tem acesso.

Dessa forma, se um usuário tem permissão de "excluir usuários", ele tem acesso à funcionalidade "excluir usuários", e só. Como essa funcionalidade será implementada, isso é por conta dela. E é nesse nível que você deve colocar a lógica de "usuário num nível hierárquico mais baixo não pode excluir usuários num nível mais alto". Ou uma lógica diferente, se for o caso. Como implementar isso, aí depende do caso: vai desde hardcoded na sua camada de aplicação, até uma representação no banco das diversas categorias hierárquicas e suas relações, ou mesmo um arquivo de configurações em XML ou similar (dica: vai por mim, faz da primeira forma mesmo!) - ou talvez uma combinação das estratégias anteriores.

P.S. Cuidado com regras complexas demais, ou você pode acabar "encurralado num canto": por exemplo, essa sua ideia do usuário "pai", se A criou B e B criou C, depois A excluiu B, qual a situação de C? Etc.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .