如何保护我的 ColdBox 应用程序？

Question

我正在使用 ColdBox 迈出第一步，但我被卡住了。我有两个数据库表，用户和公司，每个用户属于一家公司。用户登录应用程序后，他可以列出每个公司，但只能编辑他所属的公司。

那么我该如何管理用户只有他公司的编辑链接？以及我应该如何保护公司处理程序和编辑操作？

我正在使用 ColdBox VirtualEntityService 和 Coldfusion ORM。我应该在 UserService 中编写一个验证用户权限的函数吗？

Answer 1

您的编辑权限应该以某种方式成为会话的一部分，并且您的视图应该包含一些关于公司是否“可编辑”并显示编辑链接的逻辑。当然，当有人实际使用编辑链接时，您的控制器需要仔细检查用户权限，以确保他们确实拥有所需的权限。

这似乎是一种“标准逻辑”问题，与 Coldbox 没有太大关系。我不是 CB 专家，但我认为 CB 没有专门的东西可以处理您的案件。这只是关于编写好的控制器和验证代码，并弄清楚要在用户会话中存储什么。