[ZendFramework]Warunkowy ACL, czy ja to dobrze rozumiem Opcje

[mrok]

Pracuję nad systemem do zarządzania firmą, który nie będzie sprzedawany w pudełku, ale każdy chętny będzie sobie mógł założyć konto i w obrębie jego pracować (dostęp przez www).

Implikuje to nałożenie ograniczeń do zasobów, tak aby user z firmy X nie mógł przeglądać dokumentów z firmy Y.

Dotychczas poprzednicy napisali w tym celu sporo metod rozrzuconych po modelach i kontrolerach - ogólnie lekki burdel.

Chciałbym trochę tego posprzątać i tę logikę przenieść do "warunkowych ACLi"

np

[PHP] pobierz, plaintext 
$acl = new Zend_Acl();
$acl->allow('owner', 'document:list', 'show', new CompanyAssertion());
[PHP] pobierz, plaintext 

Czy ktoś podziela taki pomysł (może powinienem zrobić ankietę)? Podobno poprzednicy to byli prawdziwi ninja i zastanawiam się czy przypadkiem nie próbuję wynaleźć koła na nowo.

[destroyerr]

Problem spory i zależy od reszty architektury systemu.
Ogólnie: kontroler powinien zapytać model czy dany użytkownik może wykonać jakąś operację. Więc model powinien mieć interfejs udostępniający możliwość sprawdzenia tego dostępu i to jest chyba jasne. Natomiast najważniejsza kwestia jak model powinien sprawdzać czy jest dostęp. Próbowałem stworzyć podobny system do Twojego (niestety bardziej rozbudowany) i chyba się udało, więc Zend_ACL się nadaje. Ma moim zdaniem jest w nim parę niekonsekwencji (ale to moja interpretacja).
Zdecydowanie dla użytkowników i np. dokumentów nie tworzyłbym tekstowych ról i zasobów tylko skorzystałbym z Zend_Acl_Role_Interface i Zend_Acl_Resource_Interface. Wtedy w CompanyAssertion dostajesz do sprawdzenia obiekt użytkownika i obiekt zasobu dzięki czemu sprawnie możesz pobrać od użytkownika i dokumentu firmę i wtedy porównać. Czyli coś takiego:

[PHP] pobierz, plaintext 
class User implements Zend_Acl_Role_Interface
{
	public function getRoleId()
	{
		return sprintf('user:%s', $this->getId());
	}
}
 
class Document implements Zend_Acl_Resource_Interface
{
	public function getResourceId()
	{
		return sprintf('document:%s', $this->getId());
	}
 
	public function canEdit($user)
	{
		return $this->can($user, 'edit');
	}
 
	public function can($user, $privilege)
	{
		return $this->acl->isAllowed($user, $this, $privilege);
	}
}
 
class CompanyAssertion implements Zend_Acl_Assert_Interface
{
	public function assert(Zend_Acl $acl, Zend_Acl_Role_Interface $role = null, Zend_Acl_Resource_Interface $resource = null, $privilege = null)
	{
		return $role->getCompanyId() == $resource->getCompanyId();
	}
}
[PHP] pobierz, plaintext