ACL的數據庫模式

Question

我想爲ACL創建模式;然而，我在執行它的幾種方法之間撕裂。

我很確定我不想處理級聯權限，因爲這會導致後端和站點管理員很大的混淆。

我想我也可以和用戶一起生活，一次只能在一個角色中工作。像這樣的設置將允許隨着網站的增長而添加角色和權限，而不會影響現有的角色/規則。

起初我要規範化數據，並有三張表來表示關係。

ROLES { id, name } 
RESOURCES { id, name } 
PERMISSIONS { id, role_id, resource_id } 

找出被允許的地方，用戶是否會像這樣的查詢：

SELECT id FROM resources WHERE name = ? 
SELECT * FROM permissions WHERE role_id = ? AND resource_id = ? ($user_role_id, $resource->id) 

然後我意識到，我只會有大約20個資源，每個多達5個動作（創建，更新，查看等），也許還有8個角色。這意味着我可以公然無視數據規範化，因爲我永遠不會有超過幾百條可能的記錄。

所以也許這樣的模式會更有意義。

ROLES { id, name } 
PERMISSIONS { id, role_id, resource_name } 

這將讓我查找在單個查詢

SELECT * FROM permissions WHERE role_id = ? AND permission = ? ($user_role_id, 'post.update') 

那麼其中哪些是更正確的記錄？是否有ACL的其他架構佈局？

Answer 1

以我的經驗，真正的問題大多發生故障是否不特定用戶訪問限制的任何數額將要發生。

例如，假設您正在設計社區的模式，並允許用戶切換其配置文件的可見性。

一種選擇是堅持公共/私人標誌並堅持廣泛的先發制人的權限檢查：'users.view'（views public users）vs'users.view_all'（查看所有用戶，版主）。 （a）所有人都可以查看，（b）他們親自挑選的好友可以查看，（c）完全保持私密狀態，也許（d）除了他們精心挑選的bozos之外的所有人都可以看到。在這種情況下，您需要存儲單個行的所有者/訪問相關數據，並且您需要大量抽象這些內容，以避免實現密集的，面向圖的傳遞閉包。

不管採用哪種方法，我發現，在角色編輯/分配增加的複雜性是由產生便於/靈活性分配權限，數據的各個部分抵消，而下面以最好的工作：

1. 用戶可以有多個角色
2. 角色和權限在同一表中合併標誌來區分兩個（有用的編輯時的角色/燙髮）
3. 角色可以分配其他角色，並且角色和燙髮可以分配權限（但權限不能驢來自同一個表的內部角色）。

所得到的取向圖然後可以在兩個查詢拉，使用您正在使用哪個語言內置一勞永逸在合理的時間量，並緩存到內存緩存或後續使用類似。

從那裏，拉取用戶的權限是檢查他擁有哪些角色，並使用權限圖處理它們以獲得最終權限。通過驗證用戶是否具有指定的角色/權限來檢查權限。然後根據該權限檢查運行您的查詢/發出錯誤。

如果需要，您可以擴展對個別節點的檢查（例如，check_perms($user, 'users.edit', $node)代表「可編輯此節點」，check_perms($user, 'users.edit')代表「可編輯節點」），您將擁有非常靈活/易用的終端用戶。

正如開場示例應該說明的那樣，請謹慎對待行級權限。性能瓶頸在檢查單個節點的權限時比在拉取有效節點列表時（即只有那些用戶可以查看或編輯的節點的權限）更少。如果你不是非常精通查詢優化的話，我會建議不要在行之內的flags和user_id字段以外的任何東西。

Answer 2

您可以使用SET來分配角色。

CREATE TABLE permission (
    id integer primary key autoincrement 
    ,name varchar 
    ,perm SET('create', 'edit', 'delete', 'view') 
    ,resource_id integer); 

Answer 3

這意味着我可以行使公然無視 數據規範化，因爲我 將永遠不會有超過兩 百能記錄更多。

您期望的行數不是選擇哪種標準形式的標準。規範化涉及數據完整性。它通常通過減少冗餘來提高數據完整性。

真正要問的問題不是「我會有多少行？」，而是「對數據庫總是給我正確的答案有多重要？」對於將用於實現ACL的數據庫，我會說「非常重要」。

如果有的話，少量的行表明你不需要關心性能，所以5NF應該是一個簡單的選擇。在添加任何ID號碼之前，您需要先按5NF。

查詢弄清楚，如果用戶正在 允許地方看起來像 這樣：

SELECT id FROM resources WHERE name = ? 
SELECT * FROM permissions 
WHERE role_id = ? AND resource_id = ? ($user_role_id, $resource->id) 

你寫的採用內部的，作爲兩個查詢，而不是加入提示您可能在你的頭上。 （這是一個觀察，而不是批評。）

SELECT p.* 
FROM permissions p 
INNER JOIN resources r ON (r.id = p.resource_id AND 
          r.name = ?)