Role i uprawnienia

Członkowie widzą na koncie wszystko i nie zmieniają nic. Administratorzy i właściciele mogą tworzyć, edytować i usuwać. To cały model, a jego prostota jest tym, co czyni bezpiecznym dawanie konta każdemu, kto chce spojrzeć na wynik.

Jest wymuszany w jednym miejscu, w punkcie, przez który przechodzi każde uwierzytelnione żądanie, a nie trasa po trasie. Nieznana rola jest odrzucana, a nie wpuszczana. To ma większe znaczenie, niż brzmi: model uprawnień stosowany ekran po ekranie jest modelem, w którym kolejny zbudowany ekran po cichu jest wyjątkiem, i nikt się o tym nie dowiaduje, dopóki to nie ma znaczenia.

Jest dokładnie jeden wyjątek, i jest celowy: członek tylko do odczytu może oznaczyć własne powiadomienia jako widziane albo przeczytane. Odznaka powiadomienia, której ktoś nie może zamknąć, nie jest odznaką.

Uwierzytelnianie i autoryzacja są celowo rozdzielone. Czy rola w ogóle może zapisywać, to jedno pytanie, odpowiadane centralnie. Czy konkretny test albo witryna należą do was, to inne pytanie, sprawdzane na zasobie. Połączenie ich to sposób, w jaki model staje się niemożliwy do zrozumienia.