Роли и права доступа?

Question

[Адель Халитов]

Есть проект на angular и nodejs (express - passport)
Вопрос заключается в следующем.
У меня есть меню, где есть ссылки на страницы, условно:
Калькулятор - при нажатии переходит на страницу www.somedomain/calculate, переходя на эту страницу делается http запрос на node, условно подтягивается какая то информация из бд.
И профиль - при переходе на страницу делаются такие же действия что и при переходе на страницу калькулятора.

Есть 2 группы пользователей: администраторы и пользователи.

Понятное дело express-acl или acl перекроют доступ к http запросам для пользователя, но ссылка на эту страницу калькулятора так и будет висеть.

Как мне реализовать скрытие из меню ссылки калькулятор для пользователя?

Comments

[Robur]

поставить в ангуляре условие - если текущий пользователь не администратор - не рендерить ссылку.
Вы же в приложении знаете текущий пользователь администратор или нет?

[Станислав]

Когда в голове аншлаг лучше отдохнуть немного =)
У вас же есть коллекция пользователей, где всего скорее пользователи разделены по группа, ну что то вроде
group = 1 - admin
group - 2 - user
Так вот, раз есть авторизация, значит есть и сессии, значит есть и вывод в шаблонизатор переменных с данными пользователя, ну к примеру объект

{
_id: ...,
username: .....,
group: ......,
......
}

Вот и проверяйте в шаблонизаторе если группа пользователя 1 значит выводить ссылку, если нет то нет.

Наставите сейчас всего подряд, а потом точно придется переделывать всё

[Адель Халитов]

Станислав, Robur, Я сейчас настраиваю систему доступов с помощью acl, он работает следующим образом.
Создаем роль пользователя, условно админ, и _id пользователя добавляем в бд к этой роли.

То есть в самом пользователе нет отображения его роли.

Вот я думаю как мне действовать, сейчас данные авторизации хранятся в куки, причем хранятся защищено и зашифровано, для того чтобы их нельзя было отредактировать (в общем passport реализован на 100% без всяких там session & local storage).

Встает следующий вопрос:
Мне нужно где то хранить информацию пользователя:
Эта информация скорее всего будет _id и роль. Для постов автором я буду записывать его _id(остальную информацию буду подтягивать пост запросом: ФИО, аватарку итп), а для того чтобы я скрывал какие то данные мне нужно так же хранить роль. Но вот где и в каком виде ее хранить?

[Robur]

Адель Халитов, Где то же вы можете эту роль узнать на бекенде. Хоть из базы прочитайте, но не удивлюсь если в библиотеке есть для этого методы (я с ней не знаком). Если вопрос в том как передать это на UI - самый простой путь - сделать роут currentUser, который вернет всю инфу о залогиненом пользователе - и роль в том числе. Дальше в UI дергаете его при загрузке и скрываете/показываете всё что нужно в соответствии с этими данными