权限设计问题

[zhangH258]

总部打算开发一套系统，为了保密所以会限制合作伙伴的使用，比如禁止给其他第三方的用。 如何解决？ 想到了限制 ip，但感觉不灵活，毕竟可以解释要外出用笔记本。 还有其他比较大的杀招吗

[yhyh]

token ？

[heww]

使用前，人脸识别来一波。

[smeraldo]

证书

[annielong]

想灵活现今还真要人脸一波，其它证书 uKey 等都可以外接，

[DefineJ]

不用账号吗

[ParallelMao]

vpn

[x9sec]

401 Auth Basic

[marsgt]

没听太懂。。。是要弄 RBAC 么？

[zjsxwc]

做不到，我网银都可以借给别人用，你能咋滴

[Fazauw]

加密狗？

[no1xsyzy]

“禁止给其他第三方的用” 太宽泛了
假设合作伙伴 B，第三方 C
你要做到：允许 B 访问，而不允许 C 访问，即使 B 做出再大的帮助。
只看原题可能会开始想办法，但其实应该先想边界。
举个几乎不能检测的例子：如果是 C 电话指挥 B 操作并把显示的内容报过去呢？

[dovme]

不太懂，给他一个账号？用这个账号登录就是他本人啊。

[reus]

你们连个账户系统都没有？

[zwl2012]

生物特征认证

[reus]

或者按使用分钟收费，反正给谁用都一样收费。

[sonyxperia]

license

[index90]

如果你只是想限制谁能访问谁不能访问，这是访问授权问题。如果你想控制已授权用户的行为，那是权限控制问题。

从 LZ 的描述，是前者？那就用黑白名单的方式解决了。iptable 不方便的话，把系统部署到一个子网里，访问者通过 VPN 到子网然后使用，通过分发密钥来授权用户。如果系统可以自己开发的话，搞个登录程序就可以了，有账户密码的人才能访问。有多难？

[reus]

合同里写明不给第三方用，违反合同就赔偿，金额定高点。然后时不时找个人去钓鱼。至少让他们知道给三方用有风险，或者可以主动规制。

[bumz]

除非用摄像头，时刻监控为本人操作
然后白名单允许操作系统的人

[Proxy233]

密码+手机验证码登录，90 天强制修改密码，必须使用 vpn 进入网络