Você pode estar criando uma lista de controle para acesso, as permissões que o usuário possui baseado em seu perfil dentro do sistema. Uma biblioteca que fornece uma estrutura para isso é o Zend_Acl
.
A ACL é composta de três funções básicas, são elas:
- Perfil (Role)
- Funcionalidades (Resource)
- Permissões (Permissions)
Perfil
O código a seguir define três perfis base - guest
, membro
e admin
- a partir do qual outros perfis podem herdar. Em seguida, um perfil identificado por someuser
é estabelecido e herda os outros três perfis. A ordem em que esses papéis aparecem na array $parents
é importante.
Quando necessário, Zend_Acl procura por regras de acesso definidas não só para o perfil consultado (someuser
), mas também sobre os perfis a partir do qual o perfil consultado herda (guest
, membro
e admin
):
$acl = new Zend_Acl();
$acl->addRole(new Zend_Acl_Role('guest'))
->addRole(new Zend_Acl_Role('member'))
->addRole(new Zend_Acl_Role('admin'));
$parents = array('guest', 'member', 'admin');
$acl->addRole(new Zend_Acl_Role('someUser'), $parents);
$acl->add(new Zend_Acl_Resource('someResource'));
$acl->deny('guest', 'someResource');
$acl->allow('member', 'someResource');
echo $acl->isAllowed('someUser', 'someResource') ? 'allowed' : 'denied';
Criar a Lista de controle de Acesso
Uma lista de controle de acesso(ACL) pode representar qualquer conjunto de objetos físicos ou virtuais que você deseja. Para efeitos de demonstração, no entanto, vamos criar um Sistema de Gerenciamento de Conteúdo básico (CMS), a ACL, que mantém várias camadas de grupos em uma ampla variedade de áreas. Para criar um novo objeto ACL
, nós instanciaremos o ACL
sem parâmetros:
$acl = new Zend_Acl();
O CMS quase sempre exigirá uma hierarquia de permissões para determinar os recursos de criação de seus usuários. Pode haver um grupo Guest
para permitir acesso limitado para demonstrações, um grupo Staff
para a maioria dos usuários do CMS que realizam a maior parte das operações do dia-a-dia, um grupo de Editor
para os responsáveis pela publicação, revendo arquivamento e exclusão de conteúdo, e, finalmente, um grupo Administrador
cujas tarefas podem incluir todos os dos outros grupos, bem como a manutenção de informações sigilosas, gerenciamento de usuários, backup e exportação.
Este conjunto de permissões pode ser representado em um registro de perfil, permitindo que cada grupo herde privilégios do grupo pai
, bem como o fornecimento de privilégios distintos para apenas seu grupo único. As permissões podem ser expressas da seguinte forma:
Para este exemplo, Zend_Acl_Role
é usado, mas qualquer objeto que implementa Zend_Acl_Role_Interface
é aceitável. Esses grupos podem ser adicionadas ao perfil de registo como se segue:
$acl = new Zend_Acl();
// Adiciona grupos para o perfil de registro usando Zend_Acl_Role
// O guest não herda os controles de acesso
$roleGuest = new Zend_Acl_Role('guest');
$acl->addRole($roleGuest);
// Staff herda o guest
$acl->addRole(new Zend_Acl_Role('staff'), $roleGuest);
/*
Alternativamente, o acima pode ser escrito:
$acl->addRole(new Zend_Acl_Role('staff'), 'guest');
*/
// Editor de herda de Staff
$acl->addRole(new Zend_Acl_Role('editor'), 'staff');
// Administrador não herda os controles de acesso
$acl->addRole(new Zend_Acl_Role('administrator'));
Agora que o ACL contém os perfis relevantes, as regras podem ser estabelecidas que definem como os recursos podem ser acessados pelos perfis. Não foi definido quaisquer recursos específicos para este exemplo, que é simplificado para ilustrar que as regras se aplicam a todos os recursos. Zend_Acl
fornece uma implementação em que as regras só precisam ser atribuído do geral para o específico, minimizando o número de regras necessárias, porque os recursos e funções herdam as regras que são definidas sobre seus antepassados.
Conseqüentemente, podemos definir um conjunto razoavelmente complexo de regras com uma quantidade mínima de código. Para aplicar as permissões de base como acima definidos:
$acl = new Zend_Acl();
$roleGuest = new Zend_Acl_Role('guest');
$acl->addRole($roleGuest);
$acl->addRole(new Zend_Acl_Role('staff'), $roleGuest);
$acl->addRole(new Zend_Acl_Role('editor'), 'staff');
$acl->addRole(new Zend_Acl_Role('administrator'));
// Somente guests podem visualizar o conteúdo
$acl->allow($roleGuest, null, 'view');
/*
Alternativamente, o acima pode ser escrito:
$acl->allow('guest', null, 'view');
//*/
// Staff herda o privilégio de ver/view de guest, mas também precisa de privilégios
// adicionais
$acl->allow('staff', null, array('edit', 'submit', 'revise'));
// Editor herda os privilégios "visualizar, editar, enviar", e "revisar" de
// staff, mas também precisa de privilégios adicionais
$acl->allow('editor', null, array('publish', 'archive', 'delete'));
// Administrador não herda nada, mas é permitido todos os privilégios
$acl->allow('administrator');
Consultar uma ACL
Temos agora uma ACL flexível que pode ser usado para determinar se os solicitantes tem permissão para executar funções em todo o aplicativo web. Realizar consultas é bastante simples, utilizando o método isAllowed()
:
echo $acl->isAllowed('guest', null, 'view') ?
"allowed" : "denied";
// permitido
echo $acl->isAllowed('staff', null, 'publish') ?
"allowed" : "denied";
// negado
echo $acl->isAllowed('staff', null, 'revise') ?
"allowed" : "denied";
// permitido
echo $acl->isAllowed('editor', null, 'view') ?
"allowed" : "denied";
// permitido por causa da herança de guest
echo $acl->isAllowed('editor', null, 'update') ?
"allowed" : "denied";
// negado, porque não há nenhuma regra para permitir "update"
echo $acl->isAllowed('administrator', null, 'view') ?
"allowed" : "denied";
// permitido porque para administrador é permitido todos os privilégios
echo $acl->isAllowed('administrator') ?
"allowed" : "denied";
// permitido porque para administrador é permitido todos os privilégios
echo $acl->isAllowed('administrator', null, 'update') ?
"allowed" : "denied";
// permitido porque para administrador é permitido todos os privilégios
Leitura complementar sobre respeito do assunto: