如何使用高级ACL概念

警告:您正在浏览的文档欧宝官网下载appob娱乐下载Symfony 2.4，现已不再维护。

读本页的更新版本用于Syob娱乐下载mfony 6.2(当前稳定版本)。

本章的目的是更深入地介绍ACL系统，并解释它背后的一些设计决策。

设计概念

ob娱乐下载Symfony的对象实例安全功能基于访问控制列表的概念。每个域对象实例有自己的ACL。ACL实例包含用于做出访问决策的访问控制项(ace)的详细列表。ob娱乐下载Symfony的ACL系统侧重于两个主要目标:

如第一点所示，Symfony的ACL系统的主要功能之一是检索ACL / ace的高性能方法。ob娱乐下载这是非常重要的，因为每个ACL可能有几个ace，并以树状方式从另一个ACL继承。因此，没有使用ORM，而是默认实现直接使用Doctrine的DBAL与连接进行交互。

ACL系统与域对象完全解耦。它们甚至不必存储在同一个数据库或同一台服务器上。为了实现这种解耦，在ACL系统中，对象是通过对象标识对象表示的。每当您希望检索域对象的ACL时，ACL系统将首先从您的域对象创建一个对象标识，然后将该对象标识传递给ACL提供程序以进行进一步处理。

这类似于对象标识，但表示应用程序中的用户或角色。每个角色或用户都有自己的安全标识。

默认实现使用如下所示的五个数据库表。在典型的应用程序中，表是按行数从少到多的顺序排列的:

acl_security_identities:该表记录所有持有ace的SID (security identity)。默认实现附带两个安全标识:RoleSecurityIdentity而且UserSecurityIdentity．
acl_classes:这个表将类名映射到一个唯一的ID，这个ID可以被其他表引用。
acl_object_identities:表中的每一行表示一个域对象实例。
acl_object_identity_ancestors:该表可以非常有效地确定ACL的所有祖先。
acl_entries:包含所有ace。这通常是行最多的表。它可以包含数千万个，而不会对性能产生显著影响。

访问控制项可以应用于不同的作用域。在Syob娱乐下载mfony中，有两种不同的作用域:

有时，您会发现只需要将ACE应用于对象的特定字段。假设您希望该ID只能由管理员查看，而不能由您的客户服务查看。为了解决这个常见问题，添加了两个子作用域:

对于预授权决策，即在调用任何安全方法(或安全操作)之前做出的决策，将使用经过验证的AccessDecisionManager服务。AccessDecisionManager还用于基于角色达成授权决策。就像角色一样，ACL系统添加了几个新的属性，可以用来检查不同的权限。

属性	的目的意义	整数位掩码
视图	是否允许某人查看域对象。	查看，编辑，操作符，主，或所有者
编辑	是否允许某人对域对象进行更改。	编辑、操作符、主或所有者
创建	是否允许某人创建域对象。	创建、操作符、主或所有者
删除	是否允许某人删除域对象。	DELETE、OPERATOR、MASTER或OWNER
恢复删除	是否允许某人恢复以前删除的域对象。	取消删除、操作符、主或所有者
操作符	是否允许某人执行上述所有操作。	操作员，主人或所有者
主	是否允许某人执行上述所有操作，以及是否允许将上述任何权限授予其他人。	主人或船主
老板	是否有人拥有域对象。所有者可以执行上述任何操作而且授予管理员和所有者权限。	老板

此工作，包括代码示例，是根据创作共用BY-SA 3.0许可证。