ACL 的数据库架构

Question

我想为 ACL 创建一个架构；然而，我在几种实现它的方法之间左右为难。

我很确定我不想处理级联权限，因为这会导致后端和站点管理员产生很多混乱。

我想我也可以接受用户一次只扮演一种角色的情况。这样的设置将允许随着站点的增长根据需要添加角色和权限，而不会影响现有的角色/规则。

首先，我打算对数据进行标准化，并使用三个表来表示关系。

ROLES { id, name }
RESOURCES { id, name }
PERMISSIONS { id, role_id, resource_id }

确定某处是否允许某个用户的查询如下所示：

SELECT id FROM resources WHERE name = ?
SELECT * FROM permissions WHERE role_id = ? AND resource_id = ? ($user_role_id, $resource->id)

然后我意识到我只有大约 20 个资源，每个资源最多有 5 个操作（创建、更新、查看等），也许还有另外 8 个角色。这意味着我可以公然无视数据标准化，因为我永远不会有超过几百条可能的记录。

所以也许这样的模式会更有意义。

ROLES { id, name }
PERMISSIONS { id, role_id, resource_name }

这将允许我在单个查询中查找记录

SELECT * FROM permissions WHERE role_id = ? AND permission  = ? ($user_role_id, 'post.update')

那么哪个更正确？ ACL 是否还有其他架构布局？

Answer 1

根据我的经验，真正的问题主要在于是否会发生任何数量的特定于用户的访问限制。

例如，假设您正在设计社区的架构，并且允许用户切换其个人资料的可见性。

一种选择是坚持公共/私人个人资料标志，并坚持广泛的、先发制人的权限检查：“users.view”（查看公共用户）与“users.view_all”（查看所有用户，供版主使用） 。

另一个涉及更精细的权限，您可能希望他们能够配置一些东西，以便他们可以使自己（a）可供所有人查看，（b）可供他们精心挑选的好友查看，（c）完全保密，也许（d） ）除了他们精心挑选的笨蛋之外，所有人都可以看到。在这种情况下，您需要存储各个行的所有者/访问相关数据，并且您需要对其中一些内容进行大量抽象，以避免实现密集的、有向图的传递闭包。

无论采用哪种方法，我发现角色编辑/分配中增加的复杂性都被为各个数据分配权限所带来的轻松/灵活性所抵消，并且以下方法效果最佳：

1. 用户可以具有多个角色
2. 角色和权限合并在同一个表中，并使用标志来区分两者（在编辑角色/权限时有用）
3. 角色可以分配其他角色，角色和权限可以分配权限（但权限不能分配角色），从同一张桌子。

然后，可以将生成的定向图提取到两个查询中，使用您使用的任何语言在合理的时间内一次性构建，并缓存到 Memcache 或类似的缓存中以供后续使用。

从这里开始，提取用户的权限就是检查他拥有哪些角色，并使用权限图对其进行处理以获得最终权限。通过验证用户是否具有指定的角色/权限来检查权限。然后根据该权限检查运行查询/发出错误。

您可以扩展对单个节点的检查（即“可以编辑此节点”的 check_perms($user, 'users.edit', $node) 与 check_perms($user, 'users. edit') 表示“可以编辑节点”）如果需要的话，您将为最终用户提供非常灵活/易于使用的东西。

正如开头的示例所示，请注意不要过度转向行级权限。检查单个节点的权限的性能瓶颈比提取有效节点列表（即仅用户可以查看或编辑的节点）要少。如果您（非常）不熟悉查询优化，我建议您不要使用行本身中除标志和 user_id 字段之外的任何内容。

Answer 2

这意味着我可以明目张胆地锻炼了
忽略数据标准化，因为我
永远不会超过一对
一百个可能的记录。

您期望的行数并不是选择目标范式的标准。
规范化与数据完整性有关。它通常通过减少冗余来提高数据完整性。

真正要问的问题不是“我将有多少行？”，而是“数据库始终为我提供正确答案有多重要？”对于将用于实现 ACL 的数据库，我会说“非常重要”。

如果有什么不同的话，那就是行数少表明您不需要关心性能，因此 5NF 应该是一个很容易做出的选择。在添加任何 ID 号之前，您需要先点击 5NF。

用于确定用户是否是的查询
允许某处看起来像
这个：

SELECT id FROM resources WHERE name = ?
SELECT * FROM permissions 
WHERE role_id = ? AND resource_id = ? ($user_role_id, $resource->id)

您将其写为两个查询而不是使用内部联接，这表明您可能会不知所措。 （这是一个观察，而不是批评。）

SELECT p.* 
FROM permissions p
INNER JOIN resources r ON (r.id = p.resource_id AND 
                           r.name = ?)

Answer 3

您可以使用 SET 来分配角色。

CREATE TABLE permission (
  id integer primary key autoincrement
  ,name varchar
  ,perm SET('create', 'edit', 'delete', 'view')
  ,resource_id integer );