6

Eu acho que esta pergunta é mais de analise de modelagem na verdade não sei se enquadra no padrão de perguntas discutido pelo meta.pt.stackoverflow.com. Preciso fazer meu sistema de um jeito que quase tudo terá permissões de usuário, fiz a seguinte modelagem das entidades

inserir a descrição da imagem aqui

Porem talvez eu tenha que colocar permissões de "ACESSO e CRUD" para fabricante do produto ou permissões para o usuário que não tem a ver com a categoria ou fabricante, por exemplo: permissões para usuário cadastrar outros usuários e dar permissões para eles, o problema é que no meu estilo atual de modelagem eu teria que criar outra tabela de permissões para o fabricante e outra tabela de permissões para cadastro de outros usuários, eu gostaria de saber se existe algum padrão de modelagem(Designer Patterns) pra esse tipo de situação?

Diagrama: Link

4
  • Não é um desgin pattern, mas o que está faltando aí é uma tabela Perfil. Um usuário tem um ou mais perfis, e as permissões de acesso estão ligadas ao perfil. Dentre essas permissões, algumas se relacionam com Categorias (quem sabe uma tabela PermissaoCategoria contendo o id da permissao e o id da categoria). Commented 28/03/2014 às 17:30
  • Veja que nessa nova modelagem não tem problema nenhuma uma permissão não ser relacionada à nenhuma categoria (e, de quebra é possível atribuir uma permissão para várias categorias e vice-versa). Commented 28/03/2014 às 17:34
  • 1
    Suas permissões são "por tabela" (ex.: "usuário X pode acessar produtos") ou "por linha" (ex.: "usuário X pode acessar produto Y")? Um padrão comum é o RBAC, posso escrever uma resposta simplificada descrevendo ele. Mas antes preciso que essa dúvida seja esclarecida.
    – mgibsonbr
    Commented 28/03/2014 às 17:48
  • 1
    São por linha, Usuário X pode acessar produto Y e também preciso de permissões para "CRUD". Commented 28/03/2014 às 17:51

1 Resposta 1

7

Há duas opções pra você aqui: a sem integridade referencial e a com. A sem com certeza é mais simples, se você não se importar com a falta de chaves estrangeiras, mas se achar isso indispensável há uma alternativa com elas - no entanto você não vai escapar de criar uma tabela adicional para cada entidade do seu modelo.

Pra começar, crie os modelos básicos: Usuario, Grupo, Permissao, e as associações muitos-para-muitos GrupoUsuario, PermissaoUsuario e PermissaoGrupo. Essa separação vai facilitar muito sua vida. Explicitando: um usuário pertence a zero ou mais grupos e possui zero ou mais permissões. Além disso, o usuário herda as permissões do grupo (i.e. não precisa atribuir explicitamente uma permissão se um dos grupos onde ele está já tem essa permissão).

Você pode omitir Grupo se quiser simplificar seu modelo, às custas de um maior número de objetos do tipo PermissaoUsuario (pois cada novo usuário terá que receber explicitamente todas as permissões). Alternativamente, você pode omitir PermissaoUsuario caso não te interesse dar permissões individuais a um usuário, somente indiretamente através de um grupo. Fica a seu critério.

Solução sem integridade referencial

O modelo Permissao deve ser mantido o mais simples possível: o nome da permissão, a tabela a qual ela se refere e a linha na tabela (possivelmente NULL), se aplicável. Exemplo:

Permissao
nome             tabela         linha
-------------------------------------
create           Produtos       NULL         <-  Usuário pode criar Produtos
read             Produtos       42           <-  Usuário pode ler o produto 42
read             Fornecedores   NULL         <-  Usuário pode ler Fornecedores

Verificar se um usuário tem permissão de acessar um registro é simples:

select 1
    from Usuario u
         join PermissaoUsuario pu on pu.id_usuario = u.id
         join Permissao        p  on pu.id_permissao = p.id
    where
         u.id = 10 and
         p.nome = 'read' and
         p.tabela = 'Produtos' and
         (p.linha = 42 or p.linha is null)
union
select 1
    from Usuario u
         join GrupoUsuario   gu on gu.id_usuario = u.id
         join PermissaoGrupo pg on pg.id_grupo = gu.id_grupo
         join Permissao      p  on pu.id_permissao = p.id
    where
         u.id = 10 and
         p.nome = 'read' and
         p.tabela = 'Produtos' and
         (p.linha = 42 or p.linha is null);

(Lembrando: se você omitiu Grupo ou PermissaoUsuario a parte de baixo ou de cima do union, respectivamente, não é necessária; e esse teste is null é só pro caso de um usuário ter permissão de acessar todas as linhas da tabela, se seu modelo não tem isso então você pode omitir essa parte)

Solução com integridade referencial

Nesse caso seu modelo Permissao vai conter só o nome (i.e. não vai ter tabela nem linha), mas uma série de outros modelos vão ser criados para representar a permissão de acessar uma linha específica de um modelo específico. Por exemplo:

create table PermissaoProduto(
    id_permissao integer not null,
    id_produto   integer not null,
    primary key (id_permissao),
    foreign key (id_permissao) references Permissao(id),
    foreign key (id_produto)   references Produtos(id)
);

O resto fica igual. Assim, toda linha de PermissaoProduto estará herdando de uma linha de Permissao - pois ambas tem a mesma chave primária. A integridade referencial a Usuario fica por conta de Permissao, a integridade referencial a Produtos fica por conta de PermissaoProduto. A verificação da permissão é igualmente simples, só tem um join a mais:

select 1
    from Usuario u
         join PermissaoUsuario pu on pu.id_usuario = u.id
         join Permissao        p  on pu.id_permissao = p.id
         join PermissaoProduto pp on p.id = pp.id_permissao
    where
         u.id = 10 and
         p.nome = 'read' and
         pp.id_produto = 42
union
select 1
    from Usuario u
         join GrupoUsuario   gu on gu.id_usuario = u.id
         join PermissaoGrupo pg on pg.id_grupo = gu.id_grupo
         join Permissao      p  on pu.id_permissao = p.id
         join PermissaoProduto pp on p.id = pp.id_permissao
    where
         u.id = 10 and
         p.nome = 'read' and
         pp.id_produto = 42;

Embora pareça complicado à primeira vista, manter uma tabela de permissões diferentes para cada modelo, a integração entre cada tipo de permissão e o usuário é a mesma - pois se dá através da tabela Permissao. Pessoalmente, eu usaria a solução sem integridade referencial, mas fica a critério de cada um.

3
  • Muito Obrigado @mgibsonbr de acordo com a sua analise chegue a conclusão que a "Solução com integridade referencial" funcionará melhor pra mim. Obrigado por compartilhar o conhecimento. Commented 3/04/2014 às 14:44
  • O campo linha na tabela Permissao referencia um determinado registro de uma tabela?
    – gato
    Commented 17/04/2017 às 11:45
  • @gato Sim, mas sem integridade referencial (i.e. ele referencia implicitamente, mas não é uma chave estrangeira). É de responsabilidade do programador garantir que o registro na tabela referenciada exista, pois se digamos não existir nenhum produto com id 42 - ou se o produto 42 for removido - o SGBD aceitará isso numa boa, sem nenhum erro.
    – mgibsonbr
    Commented 18/04/2017 às 20:57

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .