一个简单的用户登录与访问权限控制设计

vdfor

本文信息

  • 本文创建于2018/03/22
  • 2018/10/30 文章更名为 一个简单的用户登录与访问权限控制设计

前述

  • 系统用户分为管理员用户、普通用户
  • 管理员用户有且唯一
  • 系统初始状态不存咋任何用户,首次使用需创建用户(admin)

前端界面显示控制

用户管理模块

根据本地credentials判断是否为管理员用户 => 显示/不显示用户管理模块

导航栏模块

  • 功能页面显示导航栏;welcome/login不显示导航栏
  • 动态控制导航栏的显示与隐藏

前端本地控制(进入页面前)-- 路由守卫

welcome/login页面

  1. 是否本地存在credentials(包含token及用户信息)(是否属于已登录状态) => 跳转至首页/Next
  2. 发送请求至后端 => 后端确认是否首次使用系统(系统有/无任何用户)=> welcome/login页面

功能页面

是否本地存在credentials(是否属于已登录状态) => 进入功能页面/跳转至login

Admin页面

  1. 是否本地存在credentials(是否属于已登录状态) => Next/跳转至login
  2. 本地credentials是否显示用户为管理员类型 => 进入Admin页面/跳转至404页面

前端向后端请求验证(进入页面后)-- http拦截器

请求发送处理

每个heep请求在请求头带上本地credentials中的token

请求响应处理

  1. 返回401状态码 => 删除本地credentials(如果有),跳转至login
  2. 否则,不做特殊处理

后端登录与鉴权

登录逻辑

  1. 后端接收到前端发送的用户信息
  2. 将前端发送的用户信息(密码需在后端做hash处理)与数据库用户信息比对
  3. 若匹配,Next。若不匹配,返回incorrect/权限到期
  4. 缓存是否存在用户登录code(若不存在则生成随机code并存入缓存)
  5. 签入token,将用户信息(id,type等)、code写入token的payload,并设定token有效期
  6. 返回用户信息及token至前端

用户身份一般鉴定

  1. token解码失败:包括无token、token过期、token的payload不包含需要的信息 => 返回401
  2. token解码 => 得到用户信息(包括id、code等) => 对比code与缓存code是否一致 => Next/返回401
  3. 根据token得到的用户信息判断是否为管理员 => 鉴定成功/Next
  4. 非管理员检测用户是否已被删除(用户删除只更改数据库状态而非数据库删除) => 返回401/鉴定成功

创建用户鉴权

  1. 创建的是系统第一个用户

后端接收到前端发送的创建的用户信息 => 请求头是否没有携带token或是否创建的用户类型为管理员 => Next/返回401
判断是否为首次使用系统 => 创建用户/返回401

  1. 创建的不是系统第一个用户

    • 后端接收到前端发送的创建的用户信息 => 请求头携带token => 判断token本身是否过期 =>返回401/Next
    • 解码token => 解码后拿到用户信息 => 用户是否为管理员且与缓存token比对 => Next/返回401
    • 创建用户 => 创建用户是否成功 => 返回success/Next
    • 是否已存在同名用户 => 返回已存在同名用户提示/返回fail

修改用户信息鉴权

  1. 用户身份一般鉴定
  2. 若鉴定用户为管理员,鉴权成功;否则,Next
  3. 鉴定需要修改的用户信息是否为用户自己 => Next/返回401
  4. 鉴定旧密码是否正确 => 鉴权成功/返回旧密码incorrect

删除用户鉴权

  1. 用户身份一般鉴定
  2. 鉴定用户为管理员 => 鉴权成功/Next

Tips

  1. 修改用户密码/删除用户成功后,删除对应用户的缓存里的登录code
  2. why not cookie => 无状态、防xss攻击、api多端共用
  3. 如何跨域共享用户登录状态
  4. 已经使用了jwt,为何还需loggedin-code => tips1即为原因
  5. 包含第三方登录的登录模块设计(OAuth协议)
阅读 7.4k

大前端

100 声望
9 粉丝
0 条评论

大前端

100 声望
9 粉丝
文章目录
宣传栏