Efektivní řešení uživatelských práv – MySQL – Fórum – Programujte.com

Zdravim mam takovej problem - nemuzu prijit na nejake efektivni reseni uzivatelskych prav :'(
Potrebuju abych mohl uzivatelum nastavit prava na:

1) a) zobrazeni uzivatelu
b) editaci uzivatelu
c) editaci opravneni u uzivatelu (zde bude zase omezeni ze uzivatel ktere bude mit opravneni odpovidajici moderatorovi nebude moct nastavovat moderatory a administratory ale napr. jenom redaktory a korektory atd..)
d) mazani uzivatelu
(zde jeste s omezenim na zobrazeni urcitych druhu uzivatelu - napr. nemuze zobrazit, smazat ani upravit uzivatele s nejvyssimi pravy atd..)

2) a) zobrazeni clanku v urcite kategorii
b) editaci clanku v urcite kategorii
c) pridavani clanku v urcite kategorii
d) editaci clanku v urcite kategorii

3) hlavni nastaveni webu


Rekneme ze budu mit tabulku uzivatelu:

uzivatele

 id (INT) | jmeno (VARCHAR) | heslo (CHAR)

-----------------

1  | Pepa | (md5ka hesla)

kategorie

id (INT) | nazev (VARCHAR) | url (VARCHAR) |

--------------------

1 | Hlavni | hlavni 

uzivatele

 id (INT) | jmeno (VARCHAR) | heslo (CHAR) | (ENUM('superadmin', 'admin', 'moderator', 'korektor', 'redaktor', 'uzivatel')

--------------------------------------------------------------------------

1 | Pepa | md5 hesla | moderator

uzivatel_kategorie

uzivatel_id (INT) | kategorie_id (INT) | opravneni (ENUM('zobrazeni', 'editace', 'mazani'))

--------------------------------------------------------------------------

1 | 1 | zobrazeni

opravneni

id (INT) | nazev (VARCHAR)| priorita (tinyINT) | zobraz_prioritu (tinyINT) | edituj_prioritu (tinyINT)

1 | superadmin | 10 | 10 | 10

2 | admin | 9   | 8 | 8

3 | moderator | 7| 7 |   

4 | kontrolor | 7 | 0 | 

tabulka uzeviatelu

nick | pass | special | spec_int

survik1 | dsds6dasd54asgdfh548er5 | superadmin | 1

$_SESSION['spec_int'] = $query['spec_int'];

if($_SESSION['spec_int'] < $query_somebody['spec_int'])

    echo ' Na smazání tohoto uživatele nemáte dostatečné oprávnění'; 

To survik1 : Tohle podle me neni zrovna dostacujici - nemas definovano zvlast co uzivatel smi editovat a co zobrazovat IMHO je lepsi to moje druhy reseni...
Ale dik za snahu :smile2:

tak si vytvoř spec. přihl. tabulku pro adminy a tam si nastav enum hodnoty co smí a co nesmí ;)

V jedné aplikaci jsme řešili s kolegou něco podobného. Výsledkem bylo API v podobě databázových procedur, které v parametru přijímaly identifikátor uživatele a při jednotlivých voláních docházelo k ověření, jestli má uživatel k proceduře/funkci přístup nebo ne. Velkou výhodou je, že odstíníte aplikační vrstvu od databázových tabulek a můžete provádět kontrolu práv v databázi.

Postup je následující:
1) Vytvoření procedur pro přístup k jednotlivým funkcím - např. založení (kolekce) záznamu, načtení záznamu, odeslání objednávky atd.
2) Tabulka, která obsahuje jméno procedury a roli, která k ní může přistupovat. Procedura, která bude ověřování proti tabulce vykonávat a bude volána ze všech procedur, které jsou součástí API.

Tento přístup má několik výhod: bezpečnost (odolnost vůči script injection, možnost autorizace na úrovni DCL), kontrola nad kódem (100% kontrola nad zpracovávnými daty), efektivní návrh (velký prostor při budoucí refaktorizaci nebo ladění) a výkon (na aplikační vrstvu dotahujete jenom data, která potřebujete a spousta operací prbíhá na straně databáze v nativní podobě - taky asi lépe budete využívat cachovací mechanizmus databáze, ale to záleží na konrétním příkladu).

Pro někoho může být nevýhodou, že se bude muset naučit procedurální programování na straně databáze. V každém případě to bude mít přínos, protože zjistíte, že některé věci můžete pomocí databázových procedur řešit velmi efektivně. Otázkou je, jestli to v tomto případě není "kanon na vrabce" :-) chcete-li však rozšířit rozhled, určitě to má smysl vyzkoušet - až se setkáte s velkým projektem, bude se to hodit.

Navržený postup samozřejmě můžete ještě modifikovat, pokud by aplikace byla nasazena do podnikové infrastruktury nebo pokud používáte centralizovanou správu uživatelských práv (třeba LDAP).

To stepan : Tohle reseni vypada take zajimave - akorat by me zajimalo jestli by bylo mozne neco takoveho zrealizovat na MySQL 5.1 databazi? Vim, ze stored procedury podporuje, ale nevim jestli podporuje uplne vsechny potrebne vlastnosti atd.. Predpokladam, ze u PostgreSQL by to takovy problem byt nemel, ze? A alespon se naucim neco noveho co se tyce databazi :)

To klinki : Projekt jsme implementovali na platformě Oracle. Domnívám se však, že na základní úkony by mělo MySQL nebo PostgreSQL stačit - bohužel s tím nemám zkušenost. Vyzkoušejte a uvidíte :-)

Aha :) No nejdriv nekde nastuduju procedury atd.. abych to pak mohl vyzkouset :)
Na tom PostgreSQL by to snad problem byt nemel