前后端分离_权限认证设计_设计篇

前后端分离_权限认证设计_设计篇

上篇文章我们从当前技术角度分析了,为什么前后端分离的项目需要自己写代码实现,本篇我们开始设计前后端分离的一套权限系统.
https://blog.csdn.net/gaoshaomin/article/details/85534560 前后端分离_权限认证设计_原理篇

1. 权限系统的选择:(合适的才是最好的)

    a. 最简单的方案(安全等级★★)

作为一套权限系统,有时候我们的需求可能仅仅是需要登录,验证用户,然后只显示想让这个用户看到或者可以操作的目录就可以了,那是可以选择最简单的方案,以后需要可以再扩展嘛.
如,某些特殊环境下:
1,系统没有修改操作,又不怕被人看到系统的数据.
2,纯内网环境,也不用考虑内网用户会恶性破坏等问题
3,其他各种原因.

    b. 有登录认证的方案(安全等级★★★)

如果你的权限系统,不想对外开放,需要防范外部人员访问,但是对内部人员没有严格的要求,或者又比较放心,要求仅仅是:只要有账号的人无所谓他看什么或者做什么操作,分配的权限只是为了方便他工作让他的菜单更整洁.那可以选择在第一种方案之上添加一个登录拦截验证,只有用正规账号登陆过的内部人员才可以对资源进行访问.

    c. 对资源认证的方案(安全等级★★★★★)

如果你的系统安全性要求非常高,需要防范恶意攻击,需要防范外部或者内部人员使用http请求直接攻击系统的话,那么你就需要在每次请求资源时验证用户是否有权限看到或者进行这个操作,没有权限的请求将被拒绝,那你或许就需要一套更严密的方案.

总结:

以上就是目前比较通用的三种权限系统设计方案,从简单到复杂,三种方案供你选择,在这里我想多与各位分享几句,标题一开头我写了,合适的就是最好的,那么做技术也是这样,我在工作中遇到好多人,做东西忽视实际需求,想的都很好,想要最好,最全,最有难度的,才能体现出自己的实力,结果就是,一天的工作做了三天,结果客户最常用最实际的基础功能反而因为整体的复杂度影响了最终的质量,实际还没有专注于简单直接的实现方案效果来的好,既影响了客户的体验和评价,也消耗了团队的时间和成本.

我认为优秀的程序员应该是让事情变的更简单,而不应该是更复杂,比如你选择了第三种方案,他增加的不单单是开发时间、设计时间、调试时间,还有可能多了很多不可预知的bug需要你解决,甚至还有可能会增加使用人员配置权限的复杂度,所以优秀的架构师只会根据需求选择合适和技术和方案,而不会去追求,复杂和困难.

是几年前在一本书中读到的,觉得很好,分享一下:
性能优化只应该在瓶颈上做，因为做在非瓶颈上就是浪费资源。
                                                                                    -----程序员修练之道《从小工到专家》