[MySQL][PHP] Projekt systemu ACL Opcje

[mentoos]

Chciałbym napisać swój system ACL. Zastanawiam się jak go zaprojektować by był elastyczny. Bazę danych chcę zaprojektować tak:

acl_resources - zasoby
id | resource

acl_roles -> role
id | role_name

acl_permissions - tabela wiążąca 2 poprzednie, w permission określany jest dostęp lub nie
id | resource_id | role_id | permission

i jeszcze tabela users normalnie wykorzystywana do logowania

Co powinien mieć dobry system ACL?
Czy powinien mieć też możliwość przypisywania uprawnień konkretnemu użytkownikowi?

Ten post edytował mentoos 19.08.2010, 11:41:33

[erix]

Czy powinien mieć też możliwość przypisywania uprawnień konkretnemu użytkownikowi?

Oczywiście. Rzadko, ale się przydaje; nie ma sensu tworzenia osobnej grupy dla zmiany tylko jednego uprawnienia.

[mentoos]

W takim razie zrobię też obsługę uprawnień dla konkretnego użytkownika.

Czy struktura bazy, którą dałem pod taki system jest prawidłowa?
Co polecałbyś dorzucić jeszcze?

[phpion]

Ja w swoim systemie ACL mam 3-poziomowe sprawdzanie uprawnień. Uprawnienia przypisuję na poziomie zasobu, roli użytkownika oraz samego użytkownika. Mam napisaną funkcję w plsql, która dla podanego ID użytkownika zwraca mi listę uprawnień/zakazów. Jeżeli określenie uprawnienia występuje na kilku poziomach (np. dla roli jest odebrane, ale dla samego użytkownika przyznane) to, nadając priorytety uprawnieniom, zwraca wartość końcową (tj. w opisanym przypadku nadanie uprawnienia).

Co jeszcze byłoby przydatne? "Przestrzenie nazw" - tak to nazwałem - czyli po prostu typy zasobów. U mnie generalnie występują 3 typy: action (dla akcji, czyli kliknięcia), field (pozwala/zabrania modyfikacji pola w formularzu oraz w bazie danych - za jednym zamachem) oraz image (wyświetlanie obrazka).

Mając zdefiniowane wspomniane typy zasobów możesz zrobić fajny myk. Ja osobiście pracuję z frameworkiem Kohana i wstrzyknąłem się bezpośrednio w helpery do budowy linków oraz tworzenia formularzy. Dzięki temu już podczas tworzenia linku (helperem html::anchor()) sprawdzam czy użytkownik ma uprawnienia do danej akcji. Jeśli tak - tworzę link, jeśli nie - wyświetlam go jako span class="access_denied". Do tego mam plugin w jQuery, który wszystkie elementy o klasie access_denied wyszarza tj. np. obrazki przekształca do skali szarości. W całości daje to bardzo fajny efekt.

[mentoos]

@phpion

Extra masz zrobiony system ACL. Sam używam Kohan'y, tyle że v3.0 (IMG:style_emoticons/default/smile.gif) . Zastanawiam się też czy nie napisać systemu ACL dla Kohana, ale jest już chyba wersja Kohana ACL dla wersji v3.0.

Jak wygląda struktura bazy danych w Twoim systemie ACL? Podobna do tej co pokazałem?

[phpion]

Poniżej zrzuty tabel (w kolejności alfabetycznej, nie zakładania - powycinałem ze zrzutu bazy):

[SQL] pobierz, plaintext 
CREATE TABLE acl_resource_groups (
    id integer NOT NULL,
    name character varying(50) NOT NULL,
    description text,
    priority smallint DEFAULT 0 NOT NULL
);
CREATE TABLE acl_resource_groups_acl_resources (
    acl_resource_group_id integer NOT NULL,
    acl_resource_id integer NOT NULL,
    permission BOOLEAN DEFAULT false NOT NULL
);
 
CREATE TABLE acl_resource_groups_acl_roles (
    acl_resource_group_id integer NOT NULL,
    acl_role_id integer NOT NULL
);
 
CREATE TABLE acl_resource_groups_auth_users (
    acl_resource_group_id integer NOT NULL,
    auth_user_id integer NOT NULL
);
 
CREATE TABLE acl_resource_namespaces (
    id integer NOT NULL,
    name character varying(255) NOT NULL
);
 
CREATE TABLE acl_resources (
    id integer NOT NULL,
    name character varying(255) NOT NULL,
    acl_resource_namespace_id integer NOT NULL,
    permission BOOLEAN DEFAULT false NOT NULL
);
 
CREATE TABLE acl_resources_acl_roles (
    acl_resource_id integer NOT NULL,
    acl_role_id integer NOT NULL,
    permission BOOLEAN DEFAULT false NOT NULL
);
 
CREATE TABLE acl_resources_auth_users (
    acl_resource_id integer NOT NULL,
    auth_user_id integer NOT NULL,
    permission BOOLEAN DEFAULT false NOT NULL
);
 
CREATE TABLE acl_roles (
    id integer NOT NULL,
    name character varying(25) NOT NULL,
    priority smallint DEFAULT 0 NOT NULL
);
 
CREATE TABLE acl_roles_auth_users (
    auth_user_id integer NOT NULL,
    acl_role_id integer NOT NULL
);
[SQL] pobierz, plaintext 

Do tego wspomniana funkcja, a do niej potrzebny nowy typ danych:

[SQL] pobierz, plaintext 
CREATE TYPE acl_user_resurces_permissions AS (
	resource_id integer,
	permission BOOLEAN,
	level integer
);
 
CREATE FUNCTION f_get_acl_user_resources_permissions(_user_id integer) RETURNS SETOF acl_user_resurces_permissions
    AS $$
DECLARE
	row record;
BEGIN
	FOR row IN
		SELECT
			DISTINCT ON (resource_id) resource_id, permission, level
		FROM
			(
			-- Pobranie uprawnien przypisanych bezposrednio do uzytkownika (priorytet = 5)
			(SELECT
				acl_resource_id AS resource_id, permission AS permission, 5 AS level
			FROM
				acl_resources_auth_users
			WHERE
				auth_user_id=_user_id)
			UNION
			-- Pobranie uprawnien przypisanych do grupy ACL uzytkownika (priorytet = 4)
			(SELECT
				DISTINCT ON (resource_id) b.acl_resource_id AS resource_id, permission AS permission, 4 AS level
			FROM
				acl_resource_groups_auth_users AS a
				JOIN acl_resource_groups_acl_resources b USING (acl_resource_group_id)
				JOIN acl_resource_groups c ON (c.id = b.acl_resource_group_id)
			WHERE
				a.auth_user_id=_user_id
			GROUP BY
				resource_id, permission, level, priority
			ORDER BY
				resource_id ASC, c.priority DESC)
			UNION
			-- Pobranie uprawnien przypisanych do rol uzytkownika (priorytet = 3)
			(SELECT
				DISTINCT ON (resource_id) b.acl_resource_id AS resource_id, permission AS permission, 3 AS level
			FROM
				acl_roles_auth_users AS a
				JOIN acl_resources_acl_roles b USING (acl_role_id)
				JOIN acl_roles c ON (c.id = b.acl_role_id)
			WHERE
				a.auth_user_id=_user_id
			GROUP BY
				resource_id, permission, level, priority
			ORDER BY
				resource_id ASC, c.priority DESC)
			UNION
			-- Pobranie uprawnien przypisanych do roli ACL uzytkownika (priorytet = 2)
			(SELECT
				DISTINCT ON (resource_id) c.acl_resource_id AS resource_id, permission AS permission, 2 AS level
			FROM
				acl_roles_auth_users AS a
				JOIN acl_resource_groups_acl_roles AS b USING (acl_role_id)
				JOIN acl_resource_groups_acl_resources AS c USING (acl_resource_group_id )
				JOIN acl_resource_groups d ON (d.id = b.acl_resource_group_id)
			WHERE
				a.auth_user_id=_user_id
			GROUP BY
				resource_id, permission, level, priority
			ORDER BY
				resource_id ASC, d.priority DESC)
			UNION
			-- Pobranie uprawnien przypisanych bezposrednio do zasobow (priorytet = 1)
			(SELECT
				id AS resource_id, permission AS permission, 1 AS level
			FROM
				acl_resources)
			) AS t
		GROUP BY
			resource_id, permission, level
		ORDER BY
			resource_id ASC, level DESC
		LOOP
		RETURN NEXT row;
	END LOOP;
END;
$$
    LANGUAGE plpgsql;
[SQL] pobierz, plaintext 

(IMG:style_emoticons/default/smile.gif)

PS: Okazuje się jednak, że działa to na 5, a nie 3 poziomach (IMG:style_emoticons/default/smile.gif) hehehe.

[mentoos]

Dzięki. Wezmę się za robotę systemu, bo się bardzo przydaje ogólnie.

[phpowiec84]

w jaki sposób należy zmodyfikowac zapytanie do bazy aby działała na MYSQL ?

[gothye]

phpion

do czego służy tabela : acl_resource_namespaces , skoro nie jet wykorzystana w zapytaniu SQL