php – 实现ACL约束,超过允许/拒绝

快速详细信息：PHP 5.3; MySQL 5.1;自定义框架,“类似MVC”

截至目前,ACL检查很简单“deny-if-not white-listing”;可以为每个组分配对某些请求处理程序的权限.例如：

privilege                       permission
+----------+---------------+    +---------------+---------------+
| group_id | permission_id |    | permission_id | handler_key   |
+----------+---------------+    +---------------+---------------+
|     1    |       1       |    |       1       | lorem_ipsum   |
|     1    |       2       |    |       2       | hello_world   |
|     2    |       3       |    |       3       | foobar        |
+----------+---------------+    +---------------+---------------+

(为简洁起见,用户和组排除在外,但他们的模型并不罕见)

无论如何,我的框架通过处理程序/路径表将URI路由到相应的handler_key(以解耦文件系统体系结构)然后,如果与请求关联的group_id为该handler_key列入白名单,则将请求分派给处理程序.

我很好奇,实现存储/检查任意(用户定义)约束的最佳方法是什么？案例将是：

>仅允许给定的组在工作日的8:00到17:00之间调用处理程序.
>仅允许给定组调用处理程序来修改“拥有”数据;即：由关联用户创建的数据.该检查可能涉及检查与处理程序要修改的内容相关联的user_id字段,以及与请求相关联的user_id

我有一个标志列,但随着更多功能,组和约束要求的引入,这不是面向未来的.我正在考虑以下方向,但要使用什么？

permission
+---------------+----------------------------+
| permission_id | handler_key   | constraint |
+---------------+---------------+------------+
|       1       | lorem_ipsum   |     ?      |
|       2       | hello_world   |     ?      |
|       3       | foobar        |     ?      |
+---------------+---------------+------------+

不必要的澄清：

(注意：代码是在这里输入的,而不是来自项目的copypasta)

澄清这里的一些行话;对于熟悉MVC原型的人来说,处理程序(特别是Web处理程序)本质上是控制器.

它们的具体实现是一个PHP文件,它返回一个由调度程序或子处理程序调用程序调用的函数.例如：

<?php
    $meta = array('subhandlers' => array());
    return function($request,$response) use($meta){
        $response['foo'] = 'bar';
    };

我的框架使用Web处理程序和API处理程序; Web处理程序将数据提供给生成HTML的响应对象(基本上是分层视图的集合).通过调用API处理程序获取数据,API处理程序只返回原始数据(API处理程序可以被视为模型的表示,返回到典型的MVC)

复合处理程序本质上是一个抽象层,因为它们是处理程序本身,它们调用处理程序来聚合数据.我目前对ACL检查的实现,对所有嵌套处理程序进行粗略检查(通过$meta,声明为处理程序的元数据头的数组变量)例如：

<?php
    $meta = array('subhandlers' => array('my_subhandler'));
    return function($request,$response) use($meta){
        $someData = Caller::call('my_subhandler',array($request,$response));
        $response->bind($someData);
    };