如何在网站内构建群组？ （管理员、管理权限、用户身份）

Question

我将制作一个小型用户系统，但我有疑问。

1. 如果我要制作一个注册表（mysql），只将密码和用户名存储到数据库而不加密有什么问题？

2. 我正在考虑如何构建管理部分。我应该检查数据库中的一列来查看用户是否是管理员吗？如果为 true，则将显示管理页面。

3. 对于管理员权限，假设我有 3 种权限：删除用户、批准用户和移动用户。在某些情况下，我可能只想授予某些人批准、删除、全部或任意组合的能力。我该怎么做这个？我正在考虑为每种权力设置一列，并让脚本检查每一列。假设我有超过 20 种要添加的权限。

4. 如果我有一个网站，人们可以在其中创建群组并成为其群组的管理员，并且这些管理员可以向群组中的人员授予不同的管理权限组合（例如，扎克创建了一个名为 Mountain 的群组，并授予一名成员我应该如何在 MySQL 中使用一个列来说明他们是哪个组的管理员以及什么组。他们有什么能力？例如列：删除、批准、GroupMemberOf、GroupAdminOf 和使用检查。

我有一个想法，但我想学习更复杂的方法。

感谢到目前为止的回答，但是，我真的在寻找有关结构的想法（问题 2 - 4）。如果我可以帮助解决这个问题，请告诉我。

Answer 1

1. 对每个用户使用唯一的盐对用户密码进行哈希处理，这样当外部人员可以访问您的数据库时，他们就无法解密密码，并且盐可以缓解 彩虹表攻击。

2 - 4. 使用一个表来表示访问级别（1：成员、2：主持人（批准）、3：管理员），并使用另一个不同的表来表示用户权限，在其中存储多对多连接，如下所示

id (auto_increment)|usr_id|role_id|group_id
-------------------------------------------
1                  |1     |3      |-1
2                  |2     |2      |1
3                  |2     |3      |2
4                  |3     |1      |2

：例如，用户 1 是整个站点的管理员，用户 2 是组 3 的管理员和组 2 的版主，用户 3 是组 2 的成员。

[编辑：]

关于限制权限的更多想法不同的角色：根据您的设置，您应该在每个页面上使用一些角色强制执行，例如在 MVC 框架中，我将扩展基本控制器以需要必须为每个方法调用的（角色）授权函数，否则它应该抛出异常。不需要用户登录的方法（页面）可以使用虚拟授权。

因此，授权类将如下所示

class Authorization
{
    public $authorized = false;

    public function dummy()
    {
        $this->authorized = true;
    }

    public function member($usr_id, $group_id = null)
    {
        $sql = "SELECT usr_id FROM usr_roles WHERE usr_id = " . $usr_id . ($group_id !== null) ? " AND group_id " . $group_id : "";
        // count the results of $sql query
        // or some more stuff
        if ($results > 1)
        {
            $this->authorized = true;
        }
        else
        {
            $this->authorized = false;
        } 
    }

    // the other functions
}

您的新基本控制器类将如下所示：

class BaseController extends Controller
{
    protected $authorization;
    public function __construct()
    {
        $this->authorization = new Authorization();
    }

    public function render()
    {
        if ($this->authorization->authorized === true)
        {
            parent::render
        }
        else
        {
            // redirect to not authorized page 
        }
    }
}

最后，您的控制器将如下所示：

class IndexController extends BaseController
{
    // some stuff, methods etc.

    // methods needs logged in user and user must be a member. 
    public function index()
    {
        $this->authorization->member($session_user->getId());
    }
}

[EDIT2:]

如果您不熟悉 OOP，那么您可以执行以下操作：

这是角色表的示例布局：

role_id|role_name
-----------------
1      |member
2      |moderator
3      |admin

然后，您可以将函数authorize() 包含在您的所有文件中：

// role_name = "member", "moderator", "admin"
function authorize($usr_id = null, $role_name = null, group_id = null)
{
    // test for user in group and role, return boolean

}

在您的文件中包含此函数并执行以下操作

if (authorize($usr_id, "moderator", 2)
{
    // show stuff, if user with $usr_id is moderator for group 2
}
else
{
    // do something else
}
// stuff for all 

Answer 2

1. 如果您存储的密码没有加密，那么当有人设法窃取您的数据库或获得对其的读取访问权限时，您将泄露所有客户的密码。遗憾的是，大多数人在站点之间重复使用用户名和密码，因此如果不保护用户的密码，就会对用户造成很大的伤害。 （也许他们应该更清楚，但大多数人不知道。）

Answer 3

1) 存储明文密码意味着即使有人访问您的数据库，他们仍然不知道密码。关于加盐和加密密码的炒作是相当愚蠢的，一个简单的方法对任何人来说都可以。

$password = "Mypassword";
$salt = "a unique and constant string";
$password = md5($password.$salt);

其作用是通过md5();对密码进行加密，用md5()加密后就无法取回密码了。加盐还可以确保无法找到密码。

如果您想比较并查看密码是否有效，只需以完全相同的方式 md5 输入，如下所示：

$password = "check_this_password";
if(md5($password.$salt) === $originalPassword) 
{ 
    //same password
}

2) 这个问题取决于您希望如何将组与管理方面集成。如果根本没有其他权限设置，则只需在数据库中存储帐户级别的单个字段是安全的。否则，请使用我的下一点来查明他们是否是管理员。

3) 实现权限系统最简单的方法就是这样，还有其他方法，但最好不要复杂化。如果您想要每个组的权限，您可以添加一个附加列，例如 prm_group_id 并找出特定组中每个用户的权限。但无论如何，它的工作原理如下：

创建一个表来保存权限

prm_user_id  | prm_permission
   0         | Admin
   0         | Delete
   1         | Add

每行保存一个标志或权限。
然后通过一些 SQL 和 PHP 就可以非常简单地查明他们是否拥有所需的权限。

function hasPermission($permission, $userID)
{
  $permissions = array();

  $sql = "SELECT prm_permission FROM user_permissions WHERE prm_user_id = $userID";
  $query = mysql_query($sql);

  while($data = mysql_fetch_array($query))
  {
     $permissions[] = $data['prm_permission'];
  }

  //Check if they have a permission with this:
  if(in_array($permission, $permissions))
  {
     return true;
  }
return false;
}

这使您可以非常轻松地添加和删除权限，并检查它们是否具有权限。唯一的缺点是管理权限可能会有点棘手。

Answer 4

对于第 2-4 点，您可能需要查看基于角色的访问控制。

Answer 5

1 - 我建议您为每个用户使用唯一的盐来加密您的密码。这样，如果您的系统受到损害，黑客将无法获取您用户的密码（无需他们进行更多的黑客攻击）

http://phpsec.org/articles/2005/password-hashing.html （有点旧，但有一些很好的信息）

2、3、4 - 所有这些可以使用多种网络语言。我建议首先阅读数据库设计，并找出哪种规范化和表模式最适合您的情况。如果您决定将来向管理员用户添加更多权限，您可以从一开始就为此进行设计，避免将来出现任何麻烦，并且仍然符合您当前的要求。

http://dev.mysql.com/tech-resources/ articles/intro-to-normalization.html http://www .peachpit.com/articles/article.aspx?p=30885

Answer 6

1. 显然，建议将其散列存储，但不这样做也有好处。这实际上取决于您的需要。

2+。
我为此此处整理了一些sql模式

基本上，存储用户，组，以及您需要的许可在单独的表中。然后，将用户关联到组，并将权限关联到组中的用户。要给某人“全部”权限，您只需确保您的编程逻辑（PHP 或 MySQL 存储过程）为新用户提供权限表中的所有可用权限。要在 MySQL 中完成此操作，您可以执行如下查询：

INSERT INTO group_user_permissions
    SELECT `group_user`.`groupid`, `group_user`.`userid`, `permission`.`permbit`
        FROM permission, `group_user`
    WHERE `group_user`.`groupid` = 1
        AND `group_user`.`userid` = 1

这会将给定的 groupid 和 userid（在本例中为 groupid 1 和 userid 1）的所有可能权限插入到 group_user_permission 表中。

现在，无论您在哪里需要检查权限，都可以对 group_user_permission 表运行一个非常简单的查询，以查看该组中的该用户是否有权执行他们想要执行的任何操作。这最终是灵活的，因为如果您需要重命名权限、添加权限或删除权限，则不必更改表。

此外，由于在权限表中使用了字符串键，因此您可以以文本格式使用这些值，这在读取它们时有意义（与使用自动递增数字相比）。让你的 PHP 检查看起来像这样：

if( $permbit === "approve" )

vs

if( $permbit === 1 )

祝你好运！

Answer 7

我对此有点晚了，但您可能想看看 CakePHP 是如何进行授权的。 （如果您使用 PHP，您可能会发现使用 CakePHP 框架可以为您提供一些控制功能，而无需编写代码。）

user-permissions-and-cakephp

此外，我发现仅保留针对实体的操作列表（例如 CRUD 或管理）很有用，因此，除了普通的用户/密码表之外，您还会有一个包含以下字段的表。

PermID | Deny or Allow | Action | Entity

然后，您有另一个表将组映射到 PermId，另一个表将用户和用户映射到 PermId。分组（如有必要，递归地）分组（正如人们已经讨论过的那样）。

拒绝或允许意味着您可以创建 ACL 来允许使用，或创建 DACL 来拒绝使用，如果默认值是允许某个操作（通常这可能不是最好的主意），或者如果有一个较小的组必须被拒绝访问更大的内部。您通常会首先检查是否存在针对组/用户的实体的显式拒绝操作。

因此，您可能会遇到类似的情况：

PermID | Type  | Action  | Entity
-------+-------+---------+------------
  1    | Allow | Read    | User_Entry
  2    | Allow | Delete  | User_Entry
  3    | Allow | Move    | User_Entry
  4    | Allow | Approve | User_Entry
  5    | Allow | Create  | User_Entry

因此，作为说明，管理员组将映射到条目 1-5，“普通用户”组可能会映射到 1 和 1。仅 5 个。 （对于组，如果需要，请阅读“人员”或“用户”）。

Id | Grp    | PermId
---+--------+-----
 1 | Admin  | 1
 2 | Admin  | 2
 3 | Admin  | 3
 4 | Admin  | 4
 5 | Admin  | 5
 6 | Normal | 1
 7 | Normal | 5

显然，这很容易扩展，因为当系统中出现新的操作或实体（例如目录）时，只需将适当的条目添加到表中，而不需要更改模式。例如，您可以使用“全部”操作，并将 DACL 用于特定排除。这是一个高级用户，除了删除 User_Entry 之外，他可以执行所有操作。

PermID | Type  | Action  | Entity
-------+-------+---------+------------
  6    | Allow | All     | User_Entry
  7    | Deny  | Delete  | User_Entry


Id | Grp    | PermId
---+--------+-----
 8 | Power  | 6
 9 | Power  | 7

在你的情况下，我想象实体可以包含组名称，或者一些表示“你的家庭组”的令牌或诸如{homegrp}/UserEntry之类的东西，而不仅仅是系统管理员可能拥有的UserEntry。

抱歉，如果这有点糟糕，但我希望你能明白它的要点。 （如果之前的答案谈到了这一点，我深表歉意，因为我认为我没有读完……）

Answer 8

2.. 是的

3.. 如果您的权限数量有限，那就很简单了 4

.. 我几年前写了这篇文章，它在一家大公司中得到了大量使用。如果您想了解有关架构的更多信息，请联系我。