Системы контроля доступа: от сессий до RBAC

Расширенные примеры реализации управления доступом

Пример 1: RBAC с кэшированием разрешений в сессии

После аутентификации загружаем все разрешения пользователя и храним их в сессии. Проверка происходит без обращения к БД.

class CachedAccessManager {
    private \PDO $pdo;
    
    public function __construct(\PDO $pdo) {
        $this->pdo = $pdo;
    }
    
    public function loadPermissions(int $userId): void {
        $stmt = $this->pdo->prepare('SELECT p.name 
            FROM permissions p 
            JOIN role_permissions rp ON p.id = rp.permission_id 
            JOIN user_roles ur ON rp.role_id = ur.role_id 
            WHERE ur.user_id = ?');
        $stmt->execute([$userId]);
        $permissions = $stmt->fetchAll(\PDO::FETCH_COLUMN);
        $_SESSION['user_permissions'] = $permissions;
    }
    
    public function can(string $permission): bool {
        return in_array($permission, $_SESSION['user_permissions'] ?? []);
    }
}

// Использование
session_start();
$manager = new CachedAccessManager($pdo);
$manager->loadPermissions(42);
if ($manager->can('article.publish')) {
    echo 'Разрешено публиковать статью';
} else {
    echo 'Доступ запрещён';
}

Вывод: Разрешено публиковать статью (если пользователь имеет право)

Пример 2: Middleware с поддержкой маршрутизации

Используем простую реализацию middleware, которая проверяет роль для конкретного маршрута.

class Router {
    private array $routes = [];
    
    public function add(string $path, callable $handler, array $middlewares = []): void {
        $this->routes[$path] = ['handler' => $handler, 'middlewares' => $middlewares];
    }
    
    public function dispatch(string $uri): void {
        if (!isset($this->routes[$uri])) {
            http_response_code(404);
            echo 'Не найдено';
            return;
        }
        $route = $this->routes[$uri];
        $pipeline = array_reduce(
            array_reverse($route['middlewares']),
            fn($next, $mw) => fn() => $mw($next, $uri),
            $route['handler']
        );
        $pipeline();
    }
}

$router = new Router();

$adminMiddleware = function($next, $uri) {
    if (($_SESSION['user_role'] ?? '') !== 'admin') {
        http_response_code(403);
        echo "Доступ к $uri запрещён";
        return;
    }
    $next();
};

$router->add('/admin/dashboard', function() {
    echo 'Панель администратора';
}, [$adminMiddleware]);

$router->add('/public', function() {
    echo 'Публичная страница';
});

// Запрос
session_start();
$_SESSION['user_role'] = 'editor';
$router->dispatch('/admin/dashboard');

Вывод: Доступ к /admin/dashboard запрещён (так как роль editor, а требуется admin)

Пример 3: ACL с использованием битовых масок

Для экономии места можно использовать битовые маски. Каждому разрешению соответствует степень двойки.

define('PERM_READ', 1);
define('PERM_WRITE', 2);
define('PERM_DELETE', 4);
define('PERM_ADMIN', 8);

class BitwiseAcl {
    private array $users = []; // userId => mask
    
    public function setPermissions(int $userId, int $mask): void {
        $this->users[$userId] = $mask;
    }
    
    public function hasPermission(int $userId, int $perm): bool {
        return ($this->users[$userId] ?? 0) & $perm;
    }
}

$acl = new BitwiseAcl();
$acl->setPermissions(1, PERM_READ | PERM_WRITE); // 3
echo $acl->hasPermission(1, PERM_DELETE) ? 'Да' : 'Нет'; // Нет
echo $acl->hasPermission(1, PERM_READ) ? 'Да' : 'Нет'; // Да

Вывод: Нет
Да

Пример 4: Enum ролей в PHP 8.1

Использование перечислений для строгой типизации ролей.

enum Role: string {
    case User = 'user';
    case Editor = 'editor';
    case Admin = 'admin';
    
    public function canAccess(Role $required): bool {
        return match ($this) {
            self::Admin => true,
            self::Editor => $required !== self::Admin,
            self::User => $required === self::User,
        };
    }
}

$current = Role::Editor;
if ($current->canAccess(Role::Admin)) {
    echo 'Доступ к админке разрешён';
} else {
    echo 'Недостаточно прав';
}

Вывод: Недостаточно прав

Пример 5: Проверка доступа к API с помощью токена

При REST API токен передаётся в заголовке Authorization. Проверяем его валидность и права.

function authenticateToken(string $token): ?array {
    // Поиск токена в БД
    global $pdo;
    $stmt = $pdo->prepare('SELECT user_id, role FROM tokens WHERE token = ? AND expires_at > NOW()');
    $stmt->execute([$token]);
    return $stmt->fetch(PDO::FETCH_ASSOC) ?: null;
}

function requireRole(string $requiredRole): void {
    $headers = getallheaders();
    $token = $headers['Authorization'] ?? '';
    $user = authenticateToken(str_replace('Bearer ', '', $token));
    if (!$user || $user['role'] !== $requiredRole) {
        http_response_code(401);
        echo json_encode(['error' => 'Unauthorized']);
        exit;
    }
}

// Использование
requireRole('admin');
echo json_encode(['data' => 'secret']);

При отсутствии токена: {"error":"Unauthorized"} (HTTP 401)