SQL: Как реализовать модель пользователя с индивидуальными правами и в тоже время находясь в группе которая задает начальные права?

Question

[Lite_robot]

Как реализовать модель пользователя с индивидуальными правами, который в тоже время находится в группе которая тоже задает права пользователю?

Правильно ли проектировать, используя таблицу индивидуальных прав, либо реализовать все виды прав через группы?

Answer 1

[xmoonlight]

Заданные права более глубокого вложения, всегда заменяют действующие права текущего уровня (директории, группы/раздела и т.д.), если они перекрываются новыми.
Иначе (если не перекрываются действующие и новые) - действуют права текущего уровня без изменений.

Это делается через маски прав используя операцию merge - прямая замена битов маски доступа через последовательную проверку от верхнего уровня к нижнему (к текущему проверяемому) по всем встречающимся маскам.

Для прав - всегда нужно использовать отдельную таблицу прав (ACL), а объекты для предоставления прав и сами права - уже задавать в связанных таблицах.

Контроль доступа - должен быть централизованным и понятным!

Answer 2

[Максим Федоров]

посмотрите в сторону RBAC

Comments

[Lite_robot]

https://upload.wikimedia.org/wikipedia/en/1/19/Rol...
Не понятно как реализовать индивидуальные права для каждого пользователя, например при необходимости отнять или добавить права не меняя группу.

[Максим Федоров]

Lite_robot, эта проблема решается назначением конкретным пользователей необходимых permission

[Lite_robot]

Максим Федоров, а не произойдет ли при этом дублирование прав или избыточность данных в таблице `пользователь` - `назначеные права`? либо избыточная операция между таблицами `дополнительные права` - `групповые права`?

[Lite_robot]

возможно уже есть готовое решение данного вопроса?

[Максим Федоров]

Lite_robot, подобным система разграничений прав уже не первый год... поэтому да готовые решения должны быть. Поэтому нужно гуглить конкретные расширения под Ваш язык программирования/фреймворк

[Lite_robot]

Максим Федоров, искал под mysql, но что-то ничего подобного не получается найти. Есть такая диаграмма, но в ней при проверке прав будет избыточная операция получения конечных прав через сравнение `дополнительные права` - `групповые права`.
https://i.stack.imgur.com/Cdx25.png