网页脚本认证

Question

在露天执行webscript时，我们可以定义webscript是否认证。 Advanced Description Options

但我想知道“是否可以以管理员或某个组的成员身份执行单个webscript，只修改身份验证属性？”

我想为某个组的成员而不是管理员组的成员编写新程序，可以创建新用户、上传用户和删除现有用户。所有执行这些任务的 webscripts[user-csv-upload.post、person.delete、people.post] 都需要 admin 身份验证。如果我将这些 webscript 的身份验证更改为对用户进行身份验证，并以管理员身份运行这些 webscript，例如<authentication runas="admin">user</authentication>。所有普通用户都可以创建新用户。 所以我想检查这些 webscript 是否只能调用一个条件满足。

如果我不能检查，我必须做两种方式。

1. 我必须将相同的逻辑写入两个不同的 webscript，一个用于管理员，一个用于某个组的成员
2. 使用sudo like tool在控制器文件中写入身份验证检查，当前用户是管理员或某个组的成员。

我想听听你的任何建议。非常感谢任何帮助。

解决方案：

我在sudo-like-tool-for-alfresco-security-aspects找到了满足我需求的确切代码

Answer 1

就像 Will Abson 在另一个问题帖子中所说，最优雅的解决方案是使用这个：Sudo Tool for Alfresco WebScripts。使用此工具，您可以临时授予您的用户（如果此用户是某个自定义组的一部分）管理员权限。如果不是，它将作为具有自己权限的普通用户。不过，它需要一些 Java 编码。

否则，解决方案 1 是我们为客户实现的。我们开发了一个自定义 web 脚本，其自定义 url 只有其经理用户知道，它可以运行带有“runas=admin”选项的脚本，并制作他们想要的东西。在这种情况下，您可以做的是：公开一个指向“用户管理 webscript”的链接，仅如果管理员用户已登录，否则该链接不会出现，并且您尊重某种的“安全”。它不是很优雅，但可以解决问题。