Est-ce que "voir comme quelqu'un d'autre" est recommandé du point de vue de la conception de logiciels?

Question

Il y a quelque temps, Facebook a introduit une fonctionnalité qui permet de configurer les permissions sur son profil: voir comme quelqu'un d'autre. Il permet à l'auteur d'une page dynamique de voir quels groupes d'utilisateurs (ou utilisateurs spécifiques) peuvent voir quelles informations dans la page, et ainsi déboguer les autorisations. Une fonctionnalité similaire existe dans LinkedIn

Les applications modernes, en particulier B2B, peuvent avoir des paramètres d'autorisation beaucoup plus complexes. Par conséquent, un tel outil est beaucoup plus utile. Cependant, autant que je sache, cette fonction n'est pas très répandue. Je me demande quels sont les inconvénients, ou s'il y a un article sur les RFC et les meilleures pratiques que je peux lire avant de le considérer pour mon propre projet.

Answer 1

Bien sûr, on appelle cela "RunAs", "usurpation d'identité", "sudo" ...

Il est intégré à Spring Security: http://docs.spring.io/spring-security/site/docs/4.0.4.RELEASE/reference/htmlsingle/#runasmanager

Il est également construit pour la plupart des serveurs de base de données:

https://msdn.microsoft.com/en-us/library/ms181362.aspx

Ajout d'une complexité à une application sécurisée en fait un peu plus susceptibles d'être vulnérables.