Как-то неотвратимо и неторопясь пришла необходимось переписать систему авторизации. Вот какие мысли в голове забродили... Пока на уровне мыслей, до кода не очень далеко, но его пока нет ;-)
Авторизация
Список решаемых задач
Система авторизации предназначена для
• разграничения доступа к контенту по логину-паролю.
• Обеспечения поддержки/запрета множественного(с разных компьютеров) входа одного пользователя.
• Выяснение количества пользователей в online.
• наследование прав пользователей по группам и индивидуально
Структура mySql таблицы для поддержки системы авторизации
-| Код |
-
-- Структура таблицы `user`
--
CREATE TABLE `user` (
`id` int(11) NOT NULL default '0',
`name` varchar(50) NOT NULL default '',
`ival` int(11) NOT NULL default '0',
`dval` timestamp NOT NULL default CURRENT_TIMESTAMP on update CURRENT_TIMESTAMP,
`sval` varchar(255) NOT NULL default '',
`tval` text NOT NULL,
PRIMARY KEY (`id`,`name`,`ival`,`sval`),
KEY `dval` (`dval`)
) ENGINE=MyISAM DEFAULT CHARSET=utf8;
|
В рамках этой таблицы формируются записи о пользователях и группах. Для каждого пользователя/группы заводится идентификатор и несколько записей со свойствами пользователя/группы. Список параметров (name) фиксирован в рамках одного проекта, но может быть расширен на любые требуемые рамки. Значения ival, tval, sval и dval определяются по смыслу параметра name.
В дальнейшем каждую строчку таблицы вида (ID, name) будем называть параметром `name` пользователя `ID`.
Возможный список имен параметров:
User – имя пользователя
Group – имя группы. Эти параметры не могут встречаться для одного и того-же ID’а, хотя нужно подумать над этой возможностью. Пока Group служит только контейнером для наследуемых прав
Link - Подключение пользователя к группе ival
Password – пароль пользователя для входа
Right – права пользователя/группы.
cRight – вычисленные права, с соблюдением наследования.
Хранение прав пользователей.
В параметре right хранится 2 ассоциативных массива allow и deny, соответственно с разрешениями и запрещениями для данного ID.
Алгоритм идентификации
Для входящей пары логин-пароль производится поиск в базе всех параметров user со значением «логин» и паролем.
Примерный запрос
| Код |
SELECT `id`
FROM user LEFT JOIN user AS u1 ON id = u1.id
WHERE `name`='user' AND ` sval`="$user" AND `u1.name`='password' AND `u1.sval`="$password";
|
Вход в систему оформляется вставкой параметра
ID,’Online’, sval=SessionId–соответствующая сессия. Dval-дата входа систему, tval – сопроводительная информация. (REMOTE_IP, X-FORVARDED_FOR, ets…)
Подтверждение входа.
Идентификатор пользователя сохраняется в сессии. При повторном визите зарегистрированного пользователя производится сравнение значения ID-сессии в параметре online пользователя и, возможно, сравнение сопроводительной информации.
При несовпадении пользователь считается незарегистрированным.
Выяснение количества пользователей в online
После входа, для пользователя заводится параметр online с датой входа. Количество пользователей в online – количество соответствующих параметров в базе, имеющих дату не позднее, чем 10 минут назад.
Наследование прав пользователей по группам и индивидуально
Права пользователя находятся в параметре cRight. В случае, если параметр не установлен - выполняется перевычисление прав. В случае, если пользователь наследует только одному ID, права берутся непосредственно оттуда. Если схема наследования сложнее – права пере вычисляются и сохранятся в параметре cRight
Перевычисление прав
После установки индивидуальных прав для какого либо ID должны быть перевычислены соответствующие ему cRight.
Используется рекурсивный алгоритм: начиная с ID очищаем все права, зависимые от него (id?,‘link’ ,ival =ID)=>delete(id?,’cRight’). Для каждого найденного id? Очистка повторяется.
Предлагаемая ниже схема работает для случая ненаследуемых друг от друга групп.
После входа пользователя в систему производится поиск параметра right для этого пользователя. Затем выполняется поиск параметров link и соответствующих cRight для линкованных сущностей. Права сущностей объединяются обычным OR’ом. После чего права склеиваются с индивидуальными правами.
Переустановленные индивидуальные права сохраняются в параметре right. После установки прав необходимо перевычислить права и поместить композитные права в параметр cRight. После этого необходимо удалить все зависимые (id?,’link’,ival=ID) от этого ID cRight, что вызовет перевычисление их при необходимости.
Дополнительные неожиданные возможности
В предлагаемой схеме можно отображать к примеру,
• Пользователя с несколькими именами для входа
• Пользователя с несколькими паролями
• Неограниченное количество параметров для пользователя.
|
)