Как использовать Расширение JS для основанного на роли приложения

Мне пришлось решить аналогичную проблему в приложении, которое я в настоящее время разрабатываю, но разрешения зависят от страны пользователя.

Я знаю, что вы уже это делаете, но просто повторюсь в интересах любой читающий, разрешения всегда должны быть реализованы на стороне сервера, а безопасность JavaScript всегда вторична . Это связано с тем, что любой, у кого половина мозга, может использовать букмарклет или Firebug для выполнения произвольного JavaScript и обхода вашей безопасности на стороне клиента.

Я обнаружил, что есть несколько способов сделать это, но, в частности, есть два подхода. которые самые разумные. Независимо от подхода, необходимо учитывать две вещи: 1) какой JavaScript использовать для сервера и как избежать обслуживания ненужной логики, и 2) как избежать выполнения логики, недоступной пользователю.

Ленивая загрузка и конфигурация разрешений:

1. Все виджеты в моем приложении лениво загружаются через dojo.require , поэтому не нужно было беспокоиться о ненужном включении JavaScript, который неприменим к Пользователь. Я не очень хорошо знаком с библиотекой ExtJs, но, насколько я видел, она не предоставляет сопоставимого метода; однако необходим синхронный вызов ajax, за которым следует eval. В любом случае, в этом методе важно, чтобы функциональность компонентов не пересекалась с разными файлами (к тому же это вообще хороший дизайн). Каждый файл должен быть собственным классом, который управляет определенным виджетом или другим элементом пользовательского интерфейса.

2. Затем я устанавливаю разрешения в сгенерированном сервером классе конфигурации JavaScript. Затем на этот класс можно ссылаться во всем приложении, чтобы узнать, что разрешено, а что нет.

Например, следующий метод контролировал доступ к большинству виджетов, которые были доступны из глобальных элементов управления.

com.project.frontController.prototype.init = function(widgets) {
   var permissions = com.project.config.permissions;

   // For each widget in the controller
   for ( var i=0, l=widgets.length; i<l; ++i ) {
       // If access is restricted to the widget (by id), then disable it.
       if ( !permissions[ widgets[i].id ] {
           com.project.util.disable(widgets[i].btnAccessNode);
       }
       // Otherwise, leave it enabled and connect the necessary event handlers.
       else {
           // connect an onclick handler or whatever is required for the widget
       }
   }
};

И конфигурация выглядела примерно так:

com.project.config.permissions = {
    "widgetAbc": {
        btnAccessNode:     "#some-css-selector",
        otherWidgetConfig: "etc"
    },
    "widgetXyz": {
        btnAccessNode:     "div.some-css-selector"
    }
};

Компиляция и проверка функциональности:

1. Некоторые приложения будут компилировать все из его JavaScript в один файл, а затем передать его клиенту. Если ваше приложение делает такую ​​вещь, и вы можете делать это динамически, весь необходимый JS может быть определен на стороне сервера до его обслуживания. Конечно, это повлечет за собой некоторые накладные расходы; однако вы можете кэшировать скомпилированные версии по ролям. Если ролей мало, то этот кеш можно легко подготовить, просто включив один конкретный сценарий.

2. Поскольку будет доступен только разрешенный JavaScript, просто определить, доступен ли требуемый класс / функция, прежде чем пытаться выполнить, это все, что вам нужно сделать для проверки разрешений.

Например, включение вашего скрипта может выглядеть так:

<script type="text/javascript" src="/js/compiler.php?role=moderator"></script>

И ваша проверка функциональности будет чем-то например:

com.project.frontController.prototype.init = function(widgets) {
   // For each widget in the controller
   for ( var i=0, l=widgets.length; i<l; ++i ) {
       // If the widget controller doesn't exist, disable it.
       if ( !com.project.util.widgetExists[ widgets[i].id ] {
           com.project.util.disable(widgets[i].btnAccessNode);
       }
       // Otherwise, leave it enabled and connect the necessary event handlers.
       else {
           // connect an onclick handler or whatever is required for the widget
       }
   }
};

или

com.project.someWidget.prototype.launchOtherWidget = function() {
    if ( typeof otherWidget != "undefined" ) {
        (new otherWidget()).open();
    }
};

Обратите внимание, что оба метода очень похожи по реализации. Я бы сказал, что лучший способ определить между ними - рассмотреть размер вашей кодовой базы, доступные вам инструменты для компиляции на лету и кэширование этих скомпилированных пакетов на основе ролей. Для моего проекта в среде не только отсутствовал компилятор, но и была большая база кода (увеличено 1,3 МБ / 296 КБ по умолчанию плюс библиотека dojo), что было неприемлемо, поскольку клиент был больше заинтересован в поддержании низкой нагрузки приложения. раз.

включение вашего скрипта может выглядеть так:

<script type="text/javascript" src="/js/compiler.php?role=moderator"></script>

И ваша проверка функциональности будет примерно такой:

com.project.frontController.prototype.init = function(widgets) {
   // For each widget in the controller
   for ( var i=0, l=widgets.length; i<l; ++i ) {
       // If the widget controller doesn't exist, disable it.
       if ( !com.project.util.widgetExists[ widgets[i].id ] {
           com.project.util.disable(widgets[i].btnAccessNode);
       }
       // Otherwise, leave it enabled and connect the necessary event handlers.
       else {
           // connect an onclick handler or whatever is required for the widget
       }
   }
};

или

com.project.someWidget.prototype.launchOtherWidget = function() {
    if ( typeof otherWidget != "undefined" ) {
        (new otherWidget()).open();
    }
};

Обратите внимание, что оба метода очень похожи по реализации. Я бы сказал, что лучший способ сделать выбор между ними - рассмотреть размер вашей кодовой базы, инструменты, доступные вам для компиляции на лету, и кэширование этих скомпилированных пакетов на основе ролей. Для моего проекта не только компилятор не был доступен в среде, но и база кода была большой (1,3 МБ раздут / 296 КБ по умолчанию плюс библиотека dojo), что было неприемлемо, поскольку клиент был больше заинтересован в поддержании низкой нагрузки приложения. раз.

включение сценария может выглядеть так:

<script type="text/javascript" src="/js/compiler.php?role=moderator"></script>

И ваша проверка функциональности будет примерно такой:

com.project.frontController.prototype.init = function(widgets) {
   // For each widget in the controller
   for ( var i=0, l=widgets.length; i<l; ++i ) {
       // If the widget controller doesn't exist, disable it.
       if ( !com.project.util.widgetExists[ widgets[i].id ] {
           com.project.util.disable(widgets[i].btnAccessNode);
       }
       // Otherwise, leave it enabled and connect the necessary event handlers.
       else {
           // connect an onclick handler or whatever is required for the widget
       }
   }
};

или

com.project.someWidget.prototype.launchOtherWidget = function() {
    if ( typeof otherWidget != "undefined" ) {
        (new otherWidget()).open();
    }
};

Обратите внимание, что оба метода очень похожи по реализации. Я бы сказал, что лучший способ сделать выбор между ними - рассмотреть размер вашей кодовой базы, инструменты, доступные вам для компиляции на лету, и кэширование этих скомпилированных пакетов на основе ролей. Для моего проекта не только компилятор был недоступен в среде, но и база кода была большой (1,3 МБ раздут / 296 КБ по умолчанию плюс библиотека dojo), что было неприемлемо, поскольку клиент был больше заинтересован в поддержании низкой нагрузки приложения. раз.

Я бы сказал, что лучший способ определить между ними - рассмотреть размер вашей кодовой базы, доступные вам инструменты для компиляции на лету и кэширование этих скомпилированных пакетов на основе ролей. Для моего проекта не только компилятор не был доступен в среде, но и база кода была большой (1,3 МБ раздут / 296 КБ по умолчанию плюс библиотека dojo), что было неприемлемо, поскольку клиент был больше заинтересован в поддержании низкой нагрузки приложения. раз.

Я бы сказал, что лучший способ определить между ними - рассмотреть размер вашей кодовой базы, доступные вам инструменты для компиляции на лету и кэширование этих скомпилированных пакетов на основе ролей. Для моего проекта не только компилятор был недоступен в среде, но и база кода была большой (1,3 МБ раздут / 296 КБ по умолчанию плюс библиотека dojo), что было неприемлемо, поскольку клиент был больше заинтересован в поддержании низкой нагрузки приложения. раз.