ACL - Access Control List

Les ACLs sont un ensemble de règles qui sont définies par un système pour gérer l'accès aux ressources demandées.

Généralement implémentées avec un système de rôles, les utilisateurs sont rattachés à ces derniers et lorsqu'une ressource est sollicitée le moteur d'ACL va aller vérifier via les règles si l'utilisateur possède ou non l'autorisation de consommer la ressource.

À quoi servent les ACL ?

Une ACL (Access Control List, liste de contrôle d'accès) sert à décider, ressource par ressource, quelles actions chaque utilisateur ou chaque rôle peut effectuer : lire, écrire, supprimer ou exécuter. C'est la brique de base de la gestion des permissions d'une application.

Exemple : dans un outil de gestion de contenu, le rôle « administrateur » peut tout modifier, le rôle « éditeur » peut seulement modifier les articles et le rôle « lecteur » peut uniquement les consulter. À chaque requête, le système interroge l'ACL pour savoir si l'action demandée est autorisée.

Les ACL se vérifient côté serveur, dans le backend, souvent au sein d'un middleware qui s'exécute avant chaque endpoint. Elles complètent un mécanisme d'authentification ou d'autorisation comme OAuth2 : l'authentification dit qui vous êtes, l'ACL dit ce que vous avez le droit de faire.