ユーザーと管理者をmongodbで一緒に保存する

Question

私はmongoidを使ってrubyアプリケーションにrubyを書いています。ユーザーと管理ユーザーを同じ文書に保管することのセキュリティの影響については疑問に思っています。私の現在の実装は、activeadminがどのようにそれを行うかをモデル化したdeviseとkindを使用しています。管理者のユーザーは別の文書のため、権限を昇格させる機会はありません。これは公開サイトであり、財務情報がいくつか含まれています。

しかし、もし私が自分のためにもっと仕事をしているのであれば、これは不思議です。

Answer 1

ユーザーが権限のメカニズムを更新できないようにしておいてください。たとえば、is_adminというブーリアンフラグがある場合は、この特権の変更から大量更新されないようにするためには、attr_protected :is_adminを使用することが重要です。