HTTP 简洁权限设计，防止私有资源被访问

[jedrek]

比如 /topic/1 ,这个是私有资源，如何才能防止已经登录的其他人访问 /topic/1 这个资源？

这里所说 http://www.cnblogs.com/hnsongbiao/p/3752617.html ，
第二点，确实能看似“完美”做得到，但是这已经是将安全、权限的控制，带到了业务中，我觉得也不是太合理。

你们是怎么设计的 ？

[Septembers]

无权访问应当响应401 Unauthorized

[Septembers]

权限系统 纵横的 不仅要垂直权限 也需要设计水平权限
你的提问中明显可以看出没有水平权限的设计

[babyname]

最简单的 如果是私有 不考虑用户角色和组的情况下，对比资源作者和登录用户是否匹配

[p1n3]

这个懒偷不得的，在 /topic/1 验证当前登陆用户的session

[caixiexin]

一直以来开发都是用文章里的“修复方案2”，这好像比较符合开发的习惯性思维.
还有文章里的“修复方案3”用token的方式，如果是网页的ajax或表单请求，token=md5(addressId+sessionId+key)这个生成方式应该是暴露在前端的js中的吧，那如果addressId还是自增id的形式，这个生成token好像没啥意义，知道生成方式后一样改个addressId生成token，是不是也能通过token校验？

[yakczh]

权限设置是集中到一个配置文件好呢,还是象yii那样分散到每个action里面好呢?

[jedrek]

@caixiexin 方案3还是有值得思考的地方的，暴露是一个。另一种情况是已经登录的情况下，直接在url中访问属于当前用户的另一个资源，那这个addressId就没有了，也就访问不到了。

[caixiexin]

@jedrek 我觉得想利用漏洞的人，应该不会仅限于改个url，最起码也会F12看下js里的认证逻辑嘛。不是有句话叫：“用户永远是最不安全不可控的一个环节”：）

[sanddudu]

@caixiexin 还有永远不要信任用户输入

[otakustay]

权限本来就是一种业务啊，当然会带到业务中来