Система групп пользователей в PHP: от простых ролей до сложной иерархии

Расширенные примеры реализации групп пользователей

Пример 1. Полная реализация ACL с использованием промежуточного кэша Redis

<?php
// Кэшируем права пользователя на 1 час
function cacheUserPermissions(int $userId, PDO $pdo, Redis $redis): array {
    $key = "user_perms:$userId";
    $cached = $redis->get($key);
    if ($cached !== false) {
        return json_decode($cached, true);
    }
    $sql = 'SELECT DISTINCT gp.permission FROM user_groups ug
            JOIN group_permissions gp ON ug.group_id = gp.group_id
            WHERE ug.user_id = :uid';
    $stmt = $pdo->prepare($sql);
    $stmt->execute(['uid' => $userId]);
    $perms = $stmt->fetchAll(PDO::FETCH_COLUMN);
    $redis->setex($key, 3600, json_encode($perms));
    return $perms;
}
?>

Array
(
    [0] => view_dashboard
    [1] => edit_profile
)

Пример 2. Иерархия групп с закрытием таблицы (materialized path)

-- Добавляем поле path для каждой группы (например, '1/3/7')
ALTER TABLE groups ADD COLUMN path VARCHAR(255) NOT NULL DEFAULT '';

-- При вставке группы с parent_id=3, path будет '1/3/7'
function insertGroup(string $name, ?int $parentId, PDO $pdo): int {
    $pdo->beginTransaction();
    $stmt = $pdo->prepare('INSERT INTO groups (name) VALUES (:name)');
    $stmt->execute(['name' => $name]);
    $newId = $pdo->lastInsertId();

    if ($parentId) {
        $stmt = $pdo->prepare('SELECT path FROM groups WHERE id = :id');
        $stmt->execute(['id' => $parentId]);
        $parentPath = $stmt->fetchColumn();
        $path = $parentPath . '/' . $newId;
    } else {
        $path = (string)$newId;
    }
    $stmt = $pdo->prepare('UPDATE groups SET path = :path WHERE id = :id');
    $stmt->execute(['path' => $path, 'id' => $newId]);
    $pdo->commit();
    return $newId;
}

// Получить все права для группы, включая наследников
function getGroupAndChildPermissions(int $groupId, PDO $pdo): array {
    $stmt = $pdo->prepare('SELECT path FROM groups WHERE id = :id');
    $stmt->execute(['id' => $groupId]);
    $path = $stmt->fetchColumn();
    $like = $path . '%';
    $sql = 'SELECT DISTINCT gp.permission FROM groups g
            JOIN group_permissions gp ON g.id = gp.group_id
            WHERE g.path LIKE :like';
    $stmt = $pdo->prepare($sql);
    $stmt->execute(['like' => $like]);
    return $stmt->fetchAll(PDO::FETCH_COLUMN);
}

Array
(
    [0] => view_reports
    [1] => edit_reports
)

Пример 3. Гибкая проверка прав с использованием callback-функций

<?php
class PermissionManager {
    private array $permissions = [];

    public function register(string $permission, callable $check): void {
        $this->permissions[$permission] = $check;
    }

    public function check(string $permission, User $user): bool {
        if (!isset($this->permissions[$permission])) {
            return false;
        }
        return ($this->permissions[$permission])($user);
    }
}

// Использование
$pm = new PermissionManager();
$pm->register('edit-article', function(User $user) {
    return $user->isAdmin() || ($user->hasGroup('editor') && $user->id === $_GET['author_id']);
});

if ($pm->check('edit-article', $currentUser)) {
    echo "Доступ разрешен";
}
?>

Доступ разрешен

Пример 4. Использование готовой библиотеки (PhpRbac) для RBAC

// Установка: composer require owasp/phprbac

use PhpRbac\Rbac;

$rbac = new Rbac();

// Создание роли
$roleId = $rbac->Roles->add('editor', 'Can edit content');

// Назначение прав роли
$rbac->Permissions->add('edit_posts', 'Edit any post');
$rbac->Permissions->assign($roleId, 'edit_posts');

// Назначение роли пользователю (user_id = 5)
$rbac->Users->assign($roleId, 5);

// Проверка
if ($rbac->Users->hasRole('editor', 5)) {
    echo "Пользователь является редактором";
}
if ($rbac->Enforce('edit_posts', 5)) {
    echo "Пользователь может редактировать посты";
}

Пользователь является редактором
Пользователь может редактировать посты

Пример 5. Интеграция с Symfony Security Component

// config/packages/security.yaml
security:
    providers:
        app_user_provider:
            entity:
                class: App\Entity\User
                property: email
    firewalls:
        main:
            lazy: true
            provider: app_user_provider
    access_control:
        - { path: ^/admin, roles: ROLE_ADMIN }

// В сущности User реализовать getRoles()
class User implements UserInterface {
    public function getRoles(): array {
        // $this->groups - коллекция групп, каждая с полем role
        return $this->groups->map(fn($g) => 'ROLE_' . strtoupper($g->getName()))->toArray();
    }
}

// При входе пользователя с группой 'admin' будет роль ROLE_ADMIN, доступ к /admin разрешен.