Há duas opções pra você aqui: a sem integridade referencial e a com. A sem com certeza é mais simples, se você não se importar com a falta de chaves estrangeiras, mas se achar isso indispensável há uma alternativa com elas - no entanto você não vai escapar de criar uma tabela adicional para cada entidade do seu modelo.
Pra começar, crie os modelos básicos: Usuario
, Grupo
, Permissao
, e as associações muitos-para-muitos GrupoUsuario
, PermissaoUsuario
e PermissaoGrupo
. Essa separação vai facilitar muito sua vida. Explicitando: um usuário pertence a zero ou mais grupos e possui zero ou mais permissões. Além disso, o usuário herda as permissões do grupo (i.e. não precisa atribuir explicitamente uma permissão se um dos grupos onde ele está já tem essa permissão).
Você pode omitir Grupo
se quiser simplificar seu modelo, às custas de um maior número de objetos do tipo PermissaoUsuario
(pois cada novo usuário terá que receber explicitamente todas as permissões). Alternativamente, você pode omitir PermissaoUsuario
caso não te interesse dar permissões individuais a um usuário, somente indiretamente através de um grupo. Fica a seu critério.
Solução sem integridade referencial
O modelo Permissao
deve ser mantido o mais simples possível: o nome
da permissão, a tabela
a qual ela se refere e a linha
na tabela (possivelmente NULL
), se aplicável. Exemplo:
Permissao
nome tabela linha
-------------------------------------
create Produtos NULL <- Usuário pode criar Produtos
read Produtos 42 <- Usuário pode ler o produto 42
read Fornecedores NULL <- Usuário pode ler Fornecedores
Verificar se um usuário tem permissão de acessar um registro é simples:
select 1
from Usuario u
join PermissaoUsuario pu on pu.id_usuario = u.id
join Permissao p on pu.id_permissao = p.id
where
u.id = 10 and
p.nome = 'read' and
p.tabela = 'Produtos' and
(p.linha = 42 or p.linha is null)
union
select 1
from Usuario u
join GrupoUsuario gu on gu.id_usuario = u.id
join PermissaoGrupo pg on pg.id_grupo = gu.id_grupo
join Permissao p on pu.id_permissao = p.id
where
u.id = 10 and
p.nome = 'read' and
p.tabela = 'Produtos' and
(p.linha = 42 or p.linha is null);
(Lembrando: se você omitiu Grupo
ou PermissaoUsuario
a parte de baixo ou de cima do union
, respectivamente, não é necessária; e esse teste is null
é só pro caso de um usuário ter permissão de acessar todas as linhas da tabela, se seu modelo não tem isso então você pode omitir essa parte)
Solução com integridade referencial
Nesse caso seu modelo Permissao
vai conter só o nome
(i.e. não vai ter tabela
nem linha
), mas uma série de outros modelos vão ser criados para representar a permissão de acessar uma linha específica de um modelo específico. Por exemplo:
create table PermissaoProduto(
id_permissao integer not null,
id_produto integer not null,
primary key (id_permissao),
foreign key (id_permissao) references Permissao(id),
foreign key (id_produto) references Produtos(id)
);
O resto fica igual. Assim, toda linha de PermissaoProduto
estará herdando de uma linha de Permissao
- pois ambas tem a mesma chave primária. A integridade referencial a Usuario
fica por conta de Permissao
, a integridade referencial a Produtos
fica por conta de PermissaoProduto
. A verificação da permissão é igualmente simples, só tem um join
a mais:
select 1
from Usuario u
join PermissaoUsuario pu on pu.id_usuario = u.id
join Permissao p on pu.id_permissao = p.id
join PermissaoProduto pp on p.id = pp.id_permissao
where
u.id = 10 and
p.nome = 'read' and
pp.id_produto = 42
union
select 1
from Usuario u
join GrupoUsuario gu on gu.id_usuario = u.id
join PermissaoGrupo pg on pg.id_grupo = gu.id_grupo
join Permissao p on pu.id_permissao = p.id
join PermissaoProduto pp on p.id = pp.id_permissao
where
u.id = 10 and
p.nome = 'read' and
pp.id_produto = 42;
Embora pareça complicado à primeira vista, manter uma tabela de permissões diferentes para cada modelo, a integração entre cada tipo de permissão e o usuário é a mesma - pois se dá através da tabela Permissao
. Pessoalmente, eu usaria a solução sem integridade referencial, mas fica a critério de cada um.
Perfil
. Um usuário tem um ou mais perfis, e as permissões de acesso estão ligadas ao perfil. Dentre essas permissões, algumas se relacionam comCategorias
(quem sabe uma tabelaPermissaoCategoria
contendo o id da permissao e o id da categoria).