Ролевое управление доступом в PHP

 <?php class PrivilegedUser extends User { private $roles; public function __construct() { parent::__construct(); } // override User method public static function getByUsername($username) { $sql = "SELECT * FROM users WHERE username = :username"; $sth = $GLOBALS["DB"]->prepare($sql); $sth->execute(array(":username" => $username)); $result = $sth->fetchAll(); if (!empty($result)) { $privUser = new PrivilegedUser(); $privUser->user_id = $result[0]["user_id"]; $privUser->username = $username; $privUser->password = $result[0]["password"]; $privUser->email_addr = $result[0]["email_addr"]; $privUser->initRoles(); return $privUser; } else { return false; } } // populate roles with their associated permissions protected function initRoles() { $this->roles = array(); $sql = "SELECT t1.role_id, t2.role_name FROM user_role as t1 JOIN roles as t2 ON t1.role_id = t2.role_id WHERE t1.user_id = :user_id"; $sth = $GLOBALS["DB"]->prepare($sql); $sth->execute(array(":user_id" => $this->user_id)); while($row = $sth->fetch(PDO::FETCH_ASSOC)) { $this->roles[$row["role_name"]] = Role::getRolePerms($row["role_id"]); } } // check if user has a specific privilege public function hasPrivilege($perm) { foreach ($this->roles as $role) { if ($role->hasPerm($perm)) { return true; } } return false; } } 

Первый метод, getByUsername() , возвращает объект, заполненный информацией о конкретном пользователе. Метод, почти идентичный этому, вероятно, уже существует в вашем пользовательском классе, но вам необходимо переопределить его здесь, чтобы методы PrivilegedUser могли быть вызваны с соответствующим объектом. Если вы попытаетесь вызвать метод PrivilegedUser для объекта User , вы получите сообщение о том, что метод не существует.

Второй метод, initRoles() , использует JOIN для объединения user_role и user_role для сбора ролей, связанных с ID текущего пользователя. Каждая роль затем заполняется соответствующими разрешениями с помощью вызова метода класса Role созданного ранее, Role::getRolePerms() .

Последний метод hasPrivilege() принимает описание разрешения и возвращает true, если у пользователя есть разрешение, или false в противном случае.

При наличии двух предыдущих классов проверка, имеет ли пользователь определенную привилегию, так же проста:

 <?php require_once "Role.php"; require_once "PrivilegedUser.php"; // connect to database... // ... session_start(); if (isset($_SESSION["loggedin"])) { $u = PrivilegedUser::getByUsername($_SESSION["loggedin"]); } if ($u->hasPrivilege("thisPermission")) { // do something } 

Здесь имя пользователя сохраняется в активном сеансе, и для этого пользователя создается новый объект PrivilegedUser для которого можно hasPrivilege() метод hasPrivilege() . В зависимости от информации в вашей базе данных выходные данные вашего объекта будут выглядеть примерно так:

  object (PrivilegedUser) # 3 (2) {
   [ "роль": "PrivilegedUser": частный] =>
   массив (1) {
     [ "Admin"] =>
     объект (роль) № 5 (1) {
       [ "Разрешение": защита] =>
       массив (4) {
         [ "AddUser"] => BOOL (истина)
         [ "EditUser"] => BOOL (истина)
         [ "DeleteUser"] => BOOL (истина)
         [ "EditRoles"] => BOOL (истина)
       }
     }
   }
   [ "Полей": "Пользователь": частный] =>
   массив (4) {
     ["user_id"] => string (1) "2"
     ["username"] => string (7) "mpsinas"
     [ "Пароль"] => BOOL (ложь)
     ["email_addr"] => string (0) ""
   }
 } 

Держать вещи организованными

Одно из многих преимуществ использования ООП-подхода с RBAC заключается в том, что он позволяет отделить логику кода и проверку от конкретных задач объекта. Например, вы можете добавить следующие методы к вашему классу Role чтобы помочь управлять специфическими для ролей операциями, такими как вставка новых ролей, удаление ролей и т. Д.

 // insert a new role public static function insertRole($role_name) { $sql = "INSERT INTO roles (role_name) VALUES (:role_name)"; $sth = $GLOBALS["DB"]->prepare($sql); return $sth->execute(array(":role_name" => $role_name)); } // insert array of roles for specified user id public static function insertUserRoles($user_id, $roles) { $sql = "INSERT INTO user_role (user_id, role_id) VALUES (:user_id, :role_id)"; $sth = $GLOBALS["DB"]->prepare($sql); $sth->bindParam(":user_id", $user_id, PDO::PARAM_STR); $sth->bindParam(":role_id", $role_id, PDO::PARAM_INT); foreach ($roles as $role_id) { $sth->execute(); } return true; } // delete array of roles, and all associations public static function deleteRoles($roles) { $sql = "DELETE t1, t2, t3 FROM roles as t1 JOIN user_role as t2 on t1.role_id = t2.role_id JOIN role_perm as t3 on t1.role_id = t3.role_id WHERE t1.role_id = :role_id"; $sth = $GLOBALS["DB"]->prepare($sql); $sth->bindParam(":role_id", $role_id, PDO::PARAM_INT); foreach ($roles as $role_id) { $sth->execute(); } return true; } // delete ALL roles for specified user id public static function deleteUserRoles($user_id) { $sql = "DELETE FROM user_role WHERE user_id = :user_id"; $sth = $GLOBALS["DB"]->prepare($sql); return $sth->execute(array(":user_id" => $user_id)); } 

Аналогично, вы можете добавить в свой класс PrivilegedUser похожие методы:

 // check if a user has a specific role public function hasRole($role_name) { return isset($this->roles[$role_name]); } // insert a new role permission association public static function insertPerm($role_id, $perm_id) { $sql = "INSERT INTO role_perm (role_id, perm_id) VALUES (:role_id, :perm_id)"; $sth = $GLOBALS["DB"]->prepare($sql); return $sth->execute(array(":role_id" => $role_id, ":perm_id" => $perm_id)); } // delete ALL role permissions public static function deletePerms() { $sql = "TRUNCATE role_perm"; $sth = $GLOBALS["DB"]->prepare($sql); return $sth->execute(); } 

Поскольку разрешения напрямую связаны с базовой логикой кода приложения, новые разрешения должны быть вручную вставлены или удалены из базы данных по мере необходимости. С другой стороны, роли можно легко создавать, изменять или удалять через интерфейс администрирования.

Чем больше у вас ролей и разрешений, тем сложнее будет управлять; важно, чтобы списки были минимальными, но иногда наоборот неизбежно. Я могу только посоветовать, чтобы вы использовали свое лучшее суждение и старались не увлекаться.

Резюме

Теперь у вас есть понимание управления доступом на основе ролей и того, как реализовать роли и разрешения в существующем приложении. Кроме того, вы узнали несколько советов, которые помогут вам управлять своими ролями и хорошо организовывать свои дела. Как всегда, я призываю вас экспериментировать и задавать вопросы, если вы застряли. Мы все здесь, чтобы учиться друг у друга, и я рад помочь, когда смогу!

Изображение через PILart / Shutterstock