数据库访问控制列表的安全设计建议？答案

【问题标题】：Suggestions for Security Design for Access Control List in database?数据库访问控制列表的安全设计建议？
【发布时间】：2010-10-28 22:15:33
【问题描述】：

我的应用程序有访问控制列表的用户（这些都是表/模式/对象）。目前这些是从数据库中读取的，布尔值用于指示他们可以查看/操作的内容。但是，任何人仍然可以访问数据库并更改数据。有人可以就我可以做什么样的事情提供一些建议吗？我希望我很清楚我们有用户（uname + pass）和 acl（empui_access，empdat_manipulate）。任何通过代码等的安全解决方案......

【问题讨论】：

您使用的是什么数据库？ SQL 服务器？ MySQL？甲骨文？有很多不同的权利吗？用户多吗？每个权限的访问级别不同？
不用担心我可以使用任何与编码设计有关的数据库。

标签： c# database security database-design access-control

【解决方案1】：

有点像

table users
username: string
password_hash: hex
acl: bit array

username 是用户名，password_hash 是密码的哈希值，略带盐。存储纯密码是错误的，但您已经知道了，不是吗？

ACL 被声明为字符串，但用作位数组。每个位代表一个特定的权限。 1 表示用户有权限，0 表示他没有。要检查某个位的值，请在 acl 上执行按位与。如果结果非零，则授予访问权限。如果结果为零，则拒绝访问。

例如：

// permission to read employee data
public const long READ_EMPL_DATA = 0x01

...
{
    User user = database.GetSomeUser();
    // test for READ_EMPL_DATA permission
    if (0 != (user.ACL & READ_EMPL_DATA)) {
        // access granted
    } else {
        // access denied
    }
    // give READ_EMPL_DATA permission
    if (0 != (user.ACL & READ_EMPL_DATA))
        user.ACL = user.ACL & READ_EMPL_DATA
}

要添加组支持，请添加几个表。

table group
groupname: string
acl: bit array

table user_group
user_id: id
group_id: id

除了测试用户级别的权限外，还要测试用户所属的组。当然，你会写一些辅助函数，也许是一个存储过程。

我希望这能让你开始。如果没有，我可以给你一个更具描述性的例子，或者更实际的代码，或者其他帮助。

【讨论】：

不能有人从数据库修改你的位数组（我以前没用过），它可以改变用户权限吗？
这是另一类问题。是的，具有正确权限的人可以修改该值。但话又说回来，那个人也可以更改密码。它是关于保护您的数据库的，而 SQL Server 已经为此提供了解决方案。例如，您可以授予来宾用户对我们 3 个表的读取权限，但如果没有写入权限，他们就无法进行更改。
此acl与db无关，这是业务需求

【解决方案2】：

这是 PostgreSQL 特有的，但您可能会从 Veil 获得一些好主意。

【讨论】：