0

Normalmente partimos de la base de que un usuario puede o no acceder a ciertas tablas en función de su rol.

Pero, ¿Cómo se gestionaría que un usuario pueda acceder a una tabla u otra en función de su rol pero, además, en función de si tiene permiso para hacer operaciones CRUD en función de su autoría sobre la tabla?

Imaginemos, por poner un ejemplo, que tenemos usuarios (con su usuario, contraseña y si están activos) y que estos usuarios pueden ser de diferentes tipos (Estudiante, Profesor, Administrador) y en función del tipo que sean van a tener una serie de relaciones asociadas.

Tendríamos una tabla Usuario con los datos generales y otras tablas de subtipo con los datos del subtipo en concreto y las relaciones que tienen asociadas.

¿Deberíamos dar de alta en Usuario y subtipo (por ejemplo Estudiante) al realizar el registro en la aplicación o hacerlo de otra forma? ¿Debemos indicar en Usuario y subtipo el mismo valor para la clave? ¿Cómo se gestionaría la comprobación de si un usuario es o no el dueño del registro?

He estado intentando investigar este tipo de cuestiones en diferentes lugares y foros pero no encuentro solución al problema en ningún sitio.

¿Podrían ayudarme con esto?

Muchas gracias,

EDITO: Añado conceptualmente la solución actual, ya que es un problema a nivel de diseño y de concepto, no de implementación. En la actualidad cuando doy de alta un Usuario, doy de alta también mediante una transacción su subtipo (Estudiante, Profesor o Admin) pero no me convence esto.

Usuario:
   Id (el asignado por Mongo)
   correo (único)
   contraseña
   activo
   rol (Estudiante, Profesor o Admin)
   
Estudiante:
  Id (el mismo asignado en Usuario)
  pruebas (array de Prueba, otra colección)
  profesor (referencia a la colección Profesor)
  ...
  
Profesor:
  id (el mismo asignado en Usuario)
  alumnos_asignados
  pruebas_asignadas
  pruebas_resueltas
  ...
  
Admin:
  id (el mismo asignado en Usuario)
  incidencias_pend
  ...
  
2
  • En mi opinión, es bastante difícil entender un problema si no tienes un extracto de la información que se quiere ordenar. Puedes poner algo? No importa que sean datos teóricos, o que estén expresados en otra tecnología. De otra manera, la pregunta es bastante dificil de contestar.
    – Legna
    Commented el 13 mar. 2021 a las 21:54
  • Hola Legna, he editado el Post para añadir con pseudocódigo el diseño actual. No quise meter código a posta porque es un problema más a nivel conceptual, no de cómo implementarlo, pero tienes razón en que es mejor para que se entienda mejor el problema. Gracias por contestar.
    – Antonio U.
    Commented el 15 mar. 2021 a las 8:08

1 respuesta 1

0

Básicamente solo existe el usuario. Dentro del usuario tienes las propiedades embedidas:

USUARIO


Id (el asignado por Mongo)
correo (único)
contraseña
activo
rol (Estudiante, Profesor o Admin) ==> Debe ser un string
// Lo expresas como un objeto dentro de usuario para mantener separadas sus 
 //propiedades
estudiante:{ }
profesor:{ }
permissions:["admin"] //Puede ser tambien 'profesor', 'alumno', etc.

Esta parte solo es para organizar. Por facilidad y versatilidad, en express, puedes autenticarte con jwt (json web token) . En el token, agregas los permisos para cada grupo de rutas.

Generar un token

Lo primero que tienes que hacer es que cuando tu usuario se haga login, se genere un token. Para esto puedes usar jwt

var jwt = require('jsonwebtoken');
var token = jwt.sign({ foo: 'bar' }, 'shhhhh');

Decodificar el token

En esta sección del código puedes utilizar alguna librería como express-jwt para decodificar el token:

var jwt = require('express-jwt');
 
app.get('/protected',
  //Este es el middleware que se decodifica
  jwt({ secret: 'shhhhhhared-secret' }),
  //Este segundo middleware obtiene en req.user el usuario
  //decodificado desde el token. 
  function(req, res) {
    //Esto es como un hola mundo, pero de permisos. 
    if (!req.user.admin) return res.sendStatus(401);
    res.sendStatus(200);
  });

Comprobar permisos

Con el usuario correctamente decoficado, ahora si podemos entrar en la gestión de permisos. La idea es que un archivo de rutas, con sus respectivos sub-archivos de ser necesario, controle una tabla o, como prefiero yo, un grupo de acciones relacionadas para asignar permisos a esas rutas.

Puedes hacerlo manualmente agregando un middleware como este:

app.use("/cosasDeProfesor", 
(req, res, next)=>{//Lógica para comprobar el permiso}, 
cosasDeProfesorRoutes )

O tambien ya hay librerías que nos facilitan la vida como express-jwt-permissions.

var guard = require('express-jwt-permissions')()
 
app.get("/cosasDeProfesor", guard.check('profesor'), cosasDeProfesoresRoutes)
app.get('/cosasDeAlumnos', guard.check(['alumos:leer']), cosasDeAlumnosRoutes)

Registro de permisos.

Generalmente me gusta trabajar con un permiso por operación. Asi que genero una cantidad exorbitante de permisos en mis aplicaciones. Para mitigar la fátiga de administrar y registrar nuevos permisos cree una libreria que incluye express-jwt-permissions y que también crea un fichero donde los va a registrando. Si te interesa es esta

7
  • Hola Legna. Pero conceptualmente, la solución que propones tiene los inconvenientes de que realmente quien tiene la relación no es el usuario, sino el tipo concreto de usuario (lo que trae como consecuencia que tendríamos que generar índices parciales y en Angular que al acceder a cualquiera de los subdocumentos nos metamos en la lógica del Guard)
    – Antonio U.
    Commented el 15 mar. 2021 a las 16:27
  • No habría otra forma de hacerlo? Muchas gracias por tu ayuda.
    – Antonio U.
    Commented el 15 mar. 2021 a las 16:34
  • En realidad te manejas por permisos, cualquier usuario podría realizar cualquier operación con los permisos adecuados. En MongoDB no suelen usarse las relaciones, un mismo documento de usuario contiene todas las propiedades de cada tipo de usuario que describes. Así mitigas las relaciones entre tablas como se manejan en SQL. Dependiendo de la implementación que quieras hacer esto se puede hacer sin librerias, solo revisando el rol del usuario logueado, pero sin token esto requiere una lectura a la BD cada vez que hagas una petición.
    – Legna
    Commented el 15 mar. 2021 a las 16:53
  • No es eso lo que busco. Los campos estan referenciados en lugar de enlazados, siguiendo las recomendaciones de mongo, porque preveo que sean muchos y ademas hagan el documento muy pesado.
    – Antonio U.
    Commented el 17 mar. 2021 a las 8:51
  • La recomendación de mongo es la de crear la menor cantidad de colleciones siempre que se pueda. A diferencia de SQL, la normalización de las BD de datos se da menos y se prefiere duplicar datos, en ocasiones, para mejorar la lectura de los mismos. Además, por diseño, puedes seleccionar por defecto los campos que se van a traer dependiendo de la operación que tengas que realizar. Esto en su mayoría se resuelve en la api con las diferentes operaciones.
    – Legna
    Commented el 17 mar. 2021 a las 14:08

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.