Как сделать страницу доступной только под администратором

Мне нужно сделать просмотр состояния склада через сайт. Как лучше разделить роли, чтобы если заходит гость, он мог только смотреть список товаров текущий (если что-то купили в магазин или продали, то этот список меняется понятное дело и он это увидит, но не более того). Если заходит админ, то он мог бы добавлять сканером и удалять из базы товары, и еще кое-какие мелочи делать?

Роли как лучше разделить? Хотелось бы сделать все во-первых понятно, чтобы если что роль добавить,или убрать. Где их описывать? В css? А потом пользоваться JS и учитывать из в серверной части на java ee?

Написано там все мной на MySQL+java ee+html+css (div,span, не табличная верстка, шаблонная), ну и используются сервлеты, JS, JDBC и еще там некоторые вещи, например JUnit,логирование, но это уже тесты.

Верстка HTML5+JS+CSS.

0

Сообщение от galileopro В css

Роли? В css? Oo
А как ты узнаёшь, что чувак, например, админ? Авторизация написана? Как написана?

0

Сообщение от galileopro Где их описывать? В css?

просто интересно, как вы собрались роли в CSS прописывать?

1

интересно, что дальше?...

0

Роли у меня в базе хранятся для всего персонала. При авторизации идет запрос к базе и возвращает поле. Потом с помощью JS я просто скриптом проверяю делать видимым или не видимым тот или иной элемент на странице.

Вообще я хочу как-то по-нормальному сделать. Чтобы можно было сразу пользователю выдать как бы HTML, в котором уже нет той страницы, которая нужна только администратору. Если только у него права.

Сейчас пока я тестирую серверную часть, не дошел еще до этой проблемы с разделением ролей вплотную. Но я хочу узнать как это делать проще всего? Есть готовое решение, может кто-то подсказать как оно должно работать?

Добавлено через 3 часа 1 минуту
Если кто-то знает типовое решение для изменения доступности элементов страницы (и контента сайта вообще) в зависимости от роли пользователя - я просто научусь предложенному решению.

Я до этого делал сайт-визитку, где был один пользователь, а регистрация была в основном для новостной рассылки на почту. Контент не изменялся. Поэтому в этом вопросе не разбирался.

0

Сообщение от galileopro Потом с помощью JS

ну я просто сделаю твой элемент обратно видимым и привет.

Сообщение от galileopro Роли у меня в базе хранятся для всего персонала

Сообщение от galileopro Но я хочу узнать как это делать проще всего

проще всего ifом проверить, какая у пользователя роль и, в зависимости от результата, вернуть тот или иной ответ. (но тут надо бы понимать, что такое "проще").
В фильтрах надо проверять, может ли пользователь ходить на запрошенный урл.
Если ты вдруг пользуешься спрингом, то там для этого есть spring security.

1

Спасибо. Я люблю готовые решения. Я посмотрю это. Я тоже думаю, что надо делать роли все на серверной части. Никогда нельзя отдавать HTML с большей информацией, чем там оно надо определенной "роли" юзера.

Хотя это и так понятно было. Вообщем спасибо. Кстати о фильтрах, если пользователь не может перейти по урл, то ему можно выдать страницу с сообщением.

А как сделать, чтобы он допустим не видел даже ссылку не нужную ему, но страницу открыть мог (и дизайн был почти такой как и в "админ-версии", только без пары кнопок)? Например на странице "главная", кассир - не видел ссылку на страницу склада, не видел кнопки некоторые, которые есть на главной странице. Но чтобы открыть он мог почти любую страницу, и эту главную, только на ней будет меньше элементов упр. и не "видимых\не видимых", а вообще их не было в коде. (наверно надо тогда делать 2 версии главной, 2 версии еще какой-то, где это надо, да?)

Можно как-то делать фильтры для отображаемых элементов управления? То есть полученная с сервера страница не будет тогда содержать не нужные кнопки, ссылки и поля, но открываться ему будет. Или так ничего не выйдет, лучше просто сделать отдельную страницу со складом и переход по ссылке сделать только для админа (хранить текущее состояние сессии, кто это залогинился и просто делать if и не открывать вообще склад, и хранить инфу для админа на отдельных страничках, а общую - на всех остальных)?

0

Сообщение от galileopro Никогда нельзя отдавать HTML с большей информацией, чем там оно надо определенной "роли" юзера.

не стоит делать таких категоричных заявлений, не разобравшись в вопросе. Скрывать недоступные элементы управления на стороне клиента это нормальная практика. Это позволяет каждый раз не генерировать html на сервере перед тем чтобы отправить клиенту. Обычно так и делают, а уровень доступа проверяется на сервере при входящем запросе на какое либо действие и тогда вам не страшны начинающие хакеры типа xoraxax, грозящие

Сообщение от xoraxax ну я просто сделаю твой элемент обратно видимым и привет.

1

Сообщение от galileopro Можно как-то делать фильтры для отображаемых элементов управления?

По большому счету ты в ответ на запрос отправляешь просто текст (не так важно, что он может быть hmtl). А значит ты можешь делать с этим текстом все что тебе угодно.
Что бы было проще готовить такой текст придумали всякие jsp, thymeleafы и прочую дрянь, в них есть всякие ifы, которые могут, например, проверить какую-нибудь переменную ну и так далее.
Можно и на клиенте скрывать, но фильтровать запросы в любом случае надо .

1

можно с помощью ИФов, фильтров, тот же спринг секюрити или по другому с этими ролями могут полностью управлять сами АппСерверы, но для начало мне кажется надо разобраться с фильтрами и ифами...
и кстати можно для каждого пользователя создать свои вьюшки и пользователь видит только свои вьюшки и за это отвечают сервлеты, фильтры как Вам угодно, но это начальный уровень зато со всеми будете управлять сами и возможно будет хорошей почвой... хотя ИМХО

1

Сообщение от KEKCoGEN не стоит делать таких категоричных заявлений, не разобравшись в вопросе. Скрывать недоступные элементы управления на стороне клиента это нормальная практика. Это позволяет каждый раз не генерировать html на сервере перед тем чтобы отправить клиенту. Обычно так и делают, а уровень доступа проверяется на сервере при входящем запросе на какое либо действие и тогда вам не страшны начинающие хакеры типа xoraxax, грозящие

абсолютно солидарен. нужно отделять мух и котлет, серверный рендеринг не есть хорошо, к тому же и средства рендеринга не такие мощные

1