页面安全性问题

Joe.xu

版主老师好：

有关活字格页面安全性，向请教几个问题：
1、服务端命令根据页面（PC&手机）访问时传递过来的token，是不是只校验用户名的合法性？
2、页面表的查询命令，传递的是SQL语句。如果页面为合法登录用户（username与token一致），此时篡改SQL语句内容，是否可以通过服务端合法性检查？
进而查询超过限制条件的数据，包括：表关联数据库表以外表情形；本关联数据表内不受限制条件的数据等。
传SQL肯定应该有关键字检验，应该只能select。
3、如果把查询数据放到服务端，由服务端命令返回，那么表的全部功能与使用页面查询功能是否一样？分页等组件是否也不受影响？
4、设置当前行命令，是否限制了无条件查询（应返回空）？满足条件的记录返回页面是否仅有一条？

Joe.xu · Joe.xu

楼主考虑的没问题，尽量使用活字格的行权限来做能省去很多麻烦

在行权限设置时，不管是左边还是右边都能取到用户的自定义属性，
楼主是说哪里取不到呢

Joe.xu · Joe.xu

楼主是遇到什么具体的问题了吗，
关于活字格的安全性不用担心，活字格有等保三级认证和其他安全性检测，
至于活字格开发出来的应用，您可以交由第三方的检测软件评估，
一般开发设计中可能会有一些问题，可将检测报告发送我们，我们会给出修改建议。
您问的这个问题，有些涉及到了底层架构的设计，不太好告知，希望能理解。
如果遇到具体的问题，我们会协助您处理

zhangsheng · zhangsheng

Joe.xu 发表于 2024-3-20 09:10
楼主是遇到什么具体的问题了吗，
关于活字格的安全性不用担心，活字格有等保三级认证和其他安全性检测，
...

谢谢版主回复。
我要对数据进行逐条的筛选控制，同一个权限的用户，在页面能看到的数据不同。
这就需要几个条件1、合法用户；2、识别用户用非法方式跳过查询设置的条件；3、只能查询表指向数据库表。
上述要求，放到服务端很好解决。活字格页面有很方便的内在设计，想着尽量借用现有的页面功能。只有没办法了，再放到服务端查询。
如果不方便公开讨论，版主看用什么方式沟通一下。

黑色幽默 · 黑色幽默

zhangsheng 发表于 2024-3-20 09:36
谢谢版主回复。
我要对数据进行逐条的筛选控制，同一个权限的用户，在页面能看到的数据不同。
这就需要 ...

感觉表格权限就可以吧，需要看到不同的数据分成两个角色，设表格行权限

zhangsheng · zhangsheng

黑色幽默发表于 2024-3-20 10:05
感觉表格权限就可以吧，需要看到不同的数据分成两个角色，设表格行权限

如果能用角色完成筛选，就不用这么麻烦了。

Joe.xu · Joe.xu

本帖最后由 Joe.xu 于 2024-3-20 17:58 编辑

跟客户电话沟通，因为行权限是作用于所有活字格的除执行SQL之外的数据查询，
包括对应的数据表查询接口，所以可以结合业务用行权限做控制。

zhangsheng · zhangsheng

本帖最后由 zhangsheng 于 2024-3-21 00:05 编辑

Joe.xu 发表于 2024-3-20 17:12
跟客户电话沟通，因为行权限是作用于所有活字格的除执行SQL之外的数据查询，
包括对应的数据表查询接口， ...

谢谢版主给详细介绍了行权限，我也很想用行权限解决问题。

上面是“行权限”的自定义设置界面。
如果用行权限解决上述问题，需要增加有关权限控制的字段，这个好办增加就是了。
但是右边“值”哪里，目前只能输入固定值或者指定的登录用户变量。
实际上，我们在哪里需要一个能自定义的变量，才能实现定制化的数据浏览控制。

上面值为变量问题我设想如下方案，版主看看能不能考虑：
测试字段选择创建人、负责人，会出现CurrentUserName等关键字，这说明现在的服务器版本能把当前登录用户传到数据库；
那我们活字格能不能在值哪里增加当前用户的自定义属性；
我就可以在页面每次“查询”“设置当前行” 命令之前把行权限控制变量值写到用户某个自定义属性，查询完毕再置空。
唯一的影响就是表不能默认加载数据了。不过采用这种严格控制浏览权限的场景，也都不会让表加载数据。

现在行权限的“创建人”、“最后修改人”已经能获得包括自定义属性的用户信息。
这个属于需求了，请版主研究下可行性。

追更------------------------------------------
测试了一下，开启行权限后，如业务表通过流程进行编辑，不是行权限范围内的负责人不能查询与编辑。
这属于BUG了，而且仅用“字段”对应“值”的逻辑计算关系还不行；
需要增加“CurrentUser”对应“值”的新选项；
相当于SQL的WHERE ( 字段X ？变量1 ）OR ( 当前用户 IN 变量2 )。

Lay.Li · Lay.Li

您好，第一个自定义属性的问题
可以在后台给用户添加一个自定义属性

这样在页面中是可以通过关键字获取到用户的自定义属性的

不同用户的自定义属性值也不同
后边那个不是很理解您的场景，如果业务表中已经设置了权限，让用户看不到数据，那为什么又想在流程中让用户看到数据呢，您实际的应用场景是什么呢

zhangsheng · zhangsheng

本帖最后由 zhangsheng 于 2024-3-22 11:18 编辑

Lay.Li 发表于 2024-3-21 18:03
您好，第一个自定义属性的问题
可以在后台给用户添加一个自定义属性

版主您好：
   我是想在数据表的行权限设置那里能使用用户自定义属性，现在还不能。
   行权限分为查看与编辑权限。一条数据库记录，有产生过程，这个过程放在流程中，就需要浏览和编辑权限。数据有关流程结束后，所有用户只能浏览了。
   还是举个例子，用放假通知来说，放假通知可能是行政人力的某岗位发起，该部门主管审核，最后总经理审批。上述流程中所有参与方都要涉及这个记录的不同字段，都需要浏览与编辑权限。流程结束后，这个放假通知的浏览权限应该是全公司。
   这应该是本来的权限控制需求。往往做不到这个控制细度，要增加不必要的流程，比如说再把审批后的通知结果生成一个文件，然后让所有人具备新的流程指向业务表的浏览权限。这种方式增加服务器计算不说，还要增加新的数据表，其实这些数据表是并不是真正被需要的，只是替代方法产生的。
   实际上，业务数据表的浏览权限是很复杂的，比如一条业务记录的办理是ABC三个部门，产生后浏览权限是DEF部门，每个部门是由变量决定的。这种情况想用增加计算与存储的方式替代权限控制的不足，需要加的数据表可能没有定数，理论上也不可行。
   回归问题数学模型实质，就是需要业务表每一行记录根据某个变量决定由特定用户浏览。其实行权限就是这个意思，只不过行权限只给了几种内定的模式。通过用户自定义属性，模式可以变成定制。
   现在方案就差活字格提供数据库端访问登录用户自定义的属性的方法了，一步之遥。

		自动登录	找回密码
密码			立即注册

[已处理] 页面安全性问题

最佳答案

12 个回复

本帖子中包含更多资源

本帖子中包含更多资源

本帖子中包含更多资源

活字格认证

活字格高级认证

微信认证勋章

讲师达人

悬赏达人

圣诞拼拼乐