1

Добрый вечер, господа. Сейчас разрабатываю интернет-магазин на самописной CMS. И возникла необходимость реализовать роли доступа для администратора, пользователя, гостя и модератора. Но как их реализовать понятия не имею, а поисковые системы пока не дали ответ на этот вопрос. Поделитесь, пожалуйста, ссылками, что нужно почитать или поделитесь опытом... Заранее спасибо!

2
  • 2
    Честно, если вы задаёте такие вопросы, то не стоит писать интернет-магазин. 26 июн 2013 в 18:25
  • 2
    простой способ - добавьте поле role в таблицу пользователей, и распределите ранги, допустим role = 1 - обычный пользователь, role = 2 - зарегистрированный пользователь, role = 3 - администратор. А где вам нужно просто дёргайте значение role и проверяйте условиями 26 июн 2013 в 18:30

2 ответа 2

6

Самый тривиальный способ: нужно каждому юзеру назначить уровень доступа, а при совершении какого-то действия – проверять, достаточно ли у него прав. Например, вот таблица пользователей:

id | login      | pwd | rank
 1 | admin      | *** | 99
 2 | user       | *** | 1
 3 | user2      | *** | 1
 4 | manager    | *** | 50
 5 | superadmin | *** | 100

Допустим, при аутентификации данные о пользователе записываются в сессию так:

$_SESSION['user'] = array(
    'id' => 4,
    'login' => 'manager',
    'rank' => 50,
    );

Тогда при совершении какого-то действия нужно просто проверять, достаточно ли у текущего пользователя прав:

...
if ($_GET['action'] == 'save-user-profile')
    {
    if ($_SESSION['user']['rank'] >= 50)
        {
        $db->users->replacerow($_POST['profile']);
        echo 'Профиль успешно сохранен';
        }
    else
        {
        header($_SERVER['SERVER_PROTOCOL'].' 403 Forbidden');
        die('Недостаточно прав для совершения операции');
        }
    }
...

Как-то так.

Еще можно по-сложному. Например, завести список всех возможных действий (редактирование своего профиля, редактирование чужого профиля, удаление учетной записи, комментирование, ..., N), хранить эти все разрешения и привязывать к учетной записи. А при попытке совершить какое-то действие — проверять, разрешено ли это конкретному пользователю:

$action = $_GET['action'];

if ($action == 'save-user-profile')
    {
    if ($_SESSION['user']['access'][$action])
        {
        $db->users->replacerow($_POST['profile']);
        echo 'Профиль успешно сохранен';
        }
    else
        {
        header($_SERVER['SERVER_PROTOCOL'].' 403 Forbidden');
        die('Недостаточно прав для совершения операции');
        }
    }

Этот подход сложнее: нужно продумать стратегию хранения этих разрешений, придумать, как исключить коллизии в их наименованиях... Зато вы всегда сможете какому-то конкретному пользователю дать возможность, скажем, удалять профили, при этом не давая возможность редактировать их.

5

В простейшем случае в базе данных создается таблица возможных ролей, а в таблицу пользователя добавляется ссылка на нее. При авторизации в сессию пользователя записывается его роль. После чего при отображении любого раздела или даже элемента на странице можно проверить роль пользователя и разрешить либо запретить ему доступ. Если же пользователь не авторизован, ему можно присвоить роль по-умолчанию, вроде гостя. Чуть подробней с более сложным примером данной модели можно почитать здесь: Управление привилегиями пользователя на основе ролей. С некоторыми различиями и усложнениями, это самая распространенная схема разграничения прав пользователей на сайтах, насколько я могу судить.

Дополнительно можно почитать про ACL, которая часто используется совместно с ролями. При этом каждому пользователю назначается список операций, которые он может совершать в отношении того или иного субъекта (например, статьи или записи в блоге). При этом список может назначаться как для каждого отдельного пользователя, так и для группы пользователей (роли).

Это, конечно, не все. Различных систем контроля доступа много. Думаю, полезным будет ознакомиться с тем как это реализовано в других CMS.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.