在aem访问控制列表评估中，当用户是两个组的一部分时，一个组具有允许权限，另一个组具有拒绝权限，哪个组将被应用？

我找到的ACL评估规则是

• 允许权限的优先级高于拒绝权限
• 在层次结构中，对组主体按顺序进行求值 和在同一节点上的单个访问控制列表中的顺序 （同时）
• 然后自下而上扫描此列表，直到第一个合适的 找到了应用于页面的权限
  所以，当一个用户是这两个组的一部分时，当拒绝权限位于列表底部时，应用哪个规则？第一条规则还是第三条规则

---

在组层次结构的情况下，如何根据组层次结构创建ACL，或者按照我们授予组主体权限的顺序创建ACL？

这取决于允许/拒绝代表策略的顺序。如果拒绝放在“允许”之后，则用户将无权访问。最佳做法是始终为所有设置拒绝，然后选择允许的权限。

顺序非常重要！ 将应用底部的一个。如果在“允许”之后放置“拒绝”，则不会向该用户提供访问权限。类似地，如果“允许”放在“拒绝”之后，则允许使用权限。AEM的最佳实践是首先拒绝所有人，然后有选择地允许权限&相应地