Rechte-Verwaltung in einem Delphi-Project

[harfes]

Ich bin auf der Suche nach einer Rechte-Verwaltung für ein Projekt. Es soll die Rechte in einer Datenbank (hier: Firebird) speichern können, ebenso wie die Login-Daten. Also in etwa: einen User in einer Datenbank anlegen (ok, das ist der einfache Teil) und dann Rechte auf z.B. verschiedene Buttons/Menüs/etc. zuweisen (das ist der komplexere Teil). Klar, kann ich alles selber schreiben, aber warum das Rad neu erfinden, wenn es das (hoffentlich) bereits gibt, gell?

Bisher habe ich lediglich "SecuritySystem" von TMS ausprobiert, da es in meinem VCL-Paket mit enthalten ist - das Prinzip sieht gut aus, aber die Komponenten sind buggy (funktioniert nur ohne DB und nicht alle Komponenten sind 64bit) und der Support bisher ist eher Bescheiden.

Ich würde mich also freuen, wenn hier einer schon mal etwas ausprobiert hat, dass dann auch wirklich funktionsfähig ist. Es muss nicht kostenlos ein (aber OpenSource ist natürlich trotzdem nicht schlecht), da ich es in einem kommerziellen Projekt einsetzen möchte.

Hartmut

[jobo]

Was suchst Du denn genau? UI Komponenten oder nur ein Modell mit Code?

Aus Modellsicht sind es weniger als eine Handvoll Tabellen. Benutzer/Gruppe, Berechtigung und die Zuordnung zueinander.
Ich hatte mal eine Implementierung, wo die Berechtigung ein etwas vereinfachtes Mapping auf Select, Insert, Update, Delete war. Also "Darf sehen, darf ändern, usw.." und das bezog sich immer auf eine Form.
Später für komplexe Sachbearbeitermasken erweitert um "Darf ausführen", womit einzelne Buttons/ Actions verwaltet wurden. Dabei wurde die Berechtigung einerseits beachtet, als "Grundrecht", andererseits war das "dürfen" teilweise mit Statemachines in der DB verbunden, die nichts mit einem Benutzerrecht, sondern mit dem Lifecycle des Objekts zu tun hatten. Sowas wie, "Du darfst keine Rechnung erstellen, wenn es nach dem Angebot noch keinen Auftrag gibt." Dazu gab's dann noch Hinweistexte zum State, die gezeigt haben was passiert, wenn man ausführt oder warum man nicht ausführen kann.

Das ist nicht sehr aufwändig. Grundlage war dabei eine bereits sexistierende Tabelle, die eh schon da war und Metainformationen zu einzelnen Forms beinhaltete.

[harfes]

Hmmm, UI-Komponenten wären ganz nett, denn dann kann der Admin des Programms die Rechte komfortabel einstellen. In der DB sollen eigentlich nur die Benutzerdaten in einer Tabelle und die Erlaubten Zugriffe auf die Koponenten eines Formulars in einer weiteren Tabelle gesichert werden. Das Tool muss also bei dem Aufruf des Programms und bei jedem Aufruf eines Formulars, die entsprechend hinterlegten Rechte zuweisen. Es geht hier nicht um die Zugriffsrechte auf die Datenbank.

Hartmut

[haentschman]

Hallöle...

Zitat:

"SecuritySystem" von TMS ausprobiert

...da standen die Paßworter im Klartext in der DB Tabelle.

Zitat:

und dann Rechte auf z.B. verschiedene Buttons/Menüs/etc. zuweisen (das ist der komplexere Teil)

...imho darf das Rechtesystem nicht wissen welchen "Button/Menüpunkt" es steuern soll.

Trennung GUI/Logic...Das Recht für "FunktionX" hat einen z.B. eindeutigen Wert (Integer etc.). In der Businesslogic wird das Recht dem
entsprechenden "Button" zugeordnet.

Delphi-Quellcode:

lagHistory.Visible := IsRightAllowed(25025) and (UpperCase(FLogic.CurrentStoreName) = 'Blubb');
...

Zum Thema:
* 3 Tabellen...User, UserRole, UserRights. Der User hat eine Rolle. Die Rolle kennt ihre Rechte.
* mit der Anmeldung bekommt der User seine Rechte
* eigene function IsRightAllowed(RightID: Integer): Boolean; wenn benötigt auswerten
* eigene Userverwaltung schreiben (Rollen/Rechte)

Problem:
Kommen Rechte hinzu oder werden gelöscht, was bei einem dynamischen System normal ist, muß das neue Recht bei allen bestehen Rollen "angehängt/gelöscht" werden. Dafür muß eine Logic entstehen...

OpenSource:
Keine OpenSource Lösung kommt an deine Anforderungen heran. Es ist immer was nicht richtig...dann gleich selbst.

[Maliko]

Ich arbeite mit einem Rechtesystem, welches aus Einzelrechten oder Rechteprofilen beteht, welchem dann die Einzelrechte zugeordnet werden. Beim Login schaue ich dann welcher User welches entsprechende Recht hat (über eine Verknüpfungstabelle) und lade alle Rechte in eine StringList, die im gesamten Programm verfügbar ist. Anschließend such ich dann einfach nach dem entsprechenden Recht und reagiere dann entsprechend darauf.

Das dürfte denke ich mal die einfachste Variante sein. Die Passwörter haben aber eigentlich auch nicht wirklich was mit der Rechte-Verwaltung zu tun sondern mit der Benutzerkontensteuerung. Dafür würde ich einfach ne entsprechende Tabelle nehmen, und einfach beim Login Username und Passwort (oder was auch sonst für die Authentifizierung verwendet wird) vergleichen. Das Passwort kann man dann einfach Hashen (+ Salt) und fertig.

Die komplette Entwicklung hat knapp 2 Tage gedauert.

[TigerLilly]

Wie so oft werden die Dinge im Detail dann aufwändig. Wir haben siucher schon die 4te Benutzerverwaltung geschrieben. :- (
Aber die Frage des TE war ja weniger WIE er es machen soll, sondern, ob es da schon was gibt.

Also:
https://github.com/casbin4d/Casbin4D
https://blogs.embarcadero.com/flexib...cl-on-windows/

Wenn man UAC via Windows abbilden möchte:
https://wiki.delphi-jedi.org/wiki/JE...y_Code_Library

Alles ohne Gewähr, aber das Thema interessiert mich auch.

[Union]

Ich habe vor Urzeiten mal einen TActionlist-Descendant dafür gemacht. Die Actionlist hat einen OnAccess Event, in dem der Zugriff gesteuert werden kann, über eine Property
SecurityId der enthaltenen Actions. Im Event kann man dann z.b. die Berechtigungen über entsprechende Tabellen abfragen:

Delphi-Quellcode:

procedure TData.ActionListAccess(ASecurityID: Integer;
  var AResult: TSecResult);
begin
 AResult := tsrDeny;
 ...
 qry.SQL.Clear;
 qry.SQL.Add('select us.name,');
 qry.SQL.Add('      userrights.Rightid as UsRId,');
 qry.SQL.Add('      Grouprights.Rightid as GRRId,');
 qry.SQL.Add('      r1.Nr as UsRNr,');
 qry.SQL.Add('      r2.Nr as GrRNr');
 qry.SQL.Add('from "user" as us');
 qry.SQL.Add('left outer join userrights on userrights.userid = us.id');
 qry.SQL.Add('left outer join usergroups on usergroups.userid = us.id');
 qry.SQL.Add('left outer join grouprights on grouprights.groupid = usergroups.groupid');
 qry.SQL.Add('left outer join Rights r1 on r1.id = Userrights.rightid');
 qry.SQL.Add('left outer join Rights r2 on r2.id = Grouprights.rightid');
 qry.SQL.Add('where ucase(us.name) = :username');
 qry.SQL.Add('and r1.nr = :nr or r2.nr = :nr');
 qry.ParamByName('username').AsString := AnsiUppercase(Username);
 qry.ParamByName('nr').AsInteger := ASecurityId;
 qry.Open;
 if not qry.Eof then
   AResult := TSrGrant;
end;

Die Rechteverwaltung für Benutzer und Gruppen habe ich mit einem simplen Dialog gelöst (Bild im Anhang). Bei Interesse kann ich das gerne mal hochladen.

[TigerLilly]

Vergessen:
https://github.com/ezequieljuliano/Security4Delphi

[harfes]

Zunächst mal Danke für die vielen Anregungen!

@haentschman: "..dann gleich selbst" triff es wohl, denn die "fertigen" Lösungen (wie das nur teilweise funktionierende TMS SecuritySystem) sind eben nicht fertig, sondern der Programmierer muss halt mit Unzulänglichkeiten leben - oder selber machen...

@TigerLilly: vielen Dank für die Anregungen/Links! Mit einigen muss ich mal versuchen, ob die passen bzw passend gemacht werden können.

@Union: gute Anregung! Du hast angeboten, Deinen Code mal hochzuladen - würdest Du das bitte machen? Oder aber auch gerne via PN an mich...ich würde mir das gerne mal als Anregung anschauen.

Jedenfalls ergibt sich aus den Antworten langsam ein Bild: was fertig funktionierendes (auch gegen Geld) gibt es wohl nicht wirklich, also muss ich selber ran. Ich hoffe zumindest darauf, eine Grundlage zu finden, die ich dann weiterentwickeln kann. Mich wundert ehrlich gesagt, dass so ein wichtiges Thema noch von keinem wirklich mit einem Tool oder Komponenten abgedeckt wurde. Das was es gibt, ist "halbgar" - entweder funktioniert es nicht richtig (z.B. SecuritySystem von TMS oder benötigt irgendwelche DAC-Treiber wie z.B. bei TUser Security Component, etc.). Klar ist, jedes Projekt hat seine eigenen Anforderungen an die möglichen User-Rechte...und das halbwegs universell hinzubekommen, ist natürlich nicht einfach.

Hartmut

[Union]

Hier mal mein Code. Im Verzeichnis .\s befindet sich der Sourcecode der Komponente sowie ein kleines Testprojekt. Im Verzeichnis .\p befinden sich die dpk für D7, 10.2 und 10.3 - entweder verwenden oder unter neuem Namen speichern, falls BPL mit unterschiedlichen Delphi-Versionen verwendet werden sollen.