Autorisations Jackrabbit pour plusieurs principaux

Question

Je développe un schéma de sécurité personnalisé pour une application web basée sur Apache Jackrabbit. J'ai étendu l'implémentation de sécurité standard de Jackrabbit à mes besoins, et jusqu'à présent cela fonctionne correctement. Mais, j'ai des problèmes avec plusieurs principaux étant assignés des permissions sur un noeud. Par exemple, l'utilisateur U est un membre du groupe G. Les groupes G n'ont pas d'autorisations de lecture sur un nœud, mais l'utilisateur U a des autorisations de lecture. Ce que je veux dire par là, le groupe G a jcr:read privilège mis à deny, et l'utilisateur U a jcr:read mis à allow sur un nœud. Sur cette base, je suppose que l'utilisateur U serait capable de lire le nœud, même s'il est membre d'un groupe qui n'est pas autorisé à lire. Cependant, le nœud n'apparaît pas pour un utilisateur U (non attendu), ou pour tout autre membre du groupe G (attendu).

Quelqu'un pourrait-il m'aider à faire la lumière là-dessus? Est-ce que mon hypothèse est correcte, ou est-ce que Jackrabbit calcule les autorisations réelles différemment? Ou est-ce juste une erreur dans ma mise en œuvre de sécurité?

Answer 1

De this article:

The list of access rights applicable for the subject is constructed from: 

    - the rights that you assign directly to the user account 
    - plus all rights assigned to any of the groups that the user belongs to 

signifie que Jackrabbit prendre le privilège de groupe au lieu de privilège de l'utilisateur. Vous pouvez lire l'intégralité de l'article, c'est bon pour la sécurité de JackRabbit.