# Введение

Zend_Acl предоставляет легковесную и гибкую реализацию списка прав доступа (ACL) и управления привилегиями. Приложение может использовать ACL для контроля доступа одних объектов к другим - защищенным.

В рамках данной документации:

- Ресурс - объект, доступ к которому контролируется.

- Роль - объект, который может запрашивать доступ к ресурсу.

Говоря проще, роли запрашивают доступ к ресурсам. Например, если парковщик запрашивает доступ к автомобилю, то парковщик - это роль, а автомобиль - ресурс, поскольку доступ к автомобилю не может предоставляться всем без исключения.

Благодаря спецификации и использованию списка прав доступа (ACL) приложение может контролировать предоставление ролям доступа к ресурсам.

## Ресурсы

Создать ресурс в Zend_Acl очень просто. Zend_Acl предоставляет интерфейс ресурса Zend_Acl_Resource_Interface для облегчения процесса создания ресурса. Этот интерфейс содержит только один метод, getResourceId(). Классу достаточно реализовывать этот интерфейс для того, чтобы Zend_Acl рассматривал объект этого класса как ресурс. Кроме того, Zend_Acl предоставляет Zend_Acl_Resource в качестве базового класса, который разработчики могут расширять по желанию.

Zend_Acl предоставляет древовидную структуру, в которую могут добавляться различные ресурсы. В этой структуре они могут быть организованы от общих (корень дерева) к специфическим (листья дерева). При запросах к определенным ресурсам в иерархии будет выполнен автоматический поиск правил, относящихся к ресурсам-предкам, учитывающий простое наследование правил. Например, если некое общее правило должно действовать в каждом здании города, то проще прикрепить его к городу, чем крепить к каждому зданию в городе. Однако, для некоторых зданий могут потребоваться исключения из этого правила, в Zend_Acl это достигается путем закрепления исключений за каждым зданием, требующим исключений из правила. Ресурс может наследовать только от одного родительского ресурса, однако сам родительский ресурс может, в свою очередь, наследовать от другого родительского ресурса и т.д.

Zend_Acl также поддерживает права доступа к ресурсам (например, "создание", "чтение", "обновление", "удаление"), разработчик может присваивать правила, которые будут влиять на все или определенные права доступа к ресурсу.

## Роли

Как и в случае с ресурсами, создавать роль тоже очень просто. Все роли должны реализовывать интерфейс Zend_Acl_Role_Interface. Этот интерфейс содержит единственный метод getRoleId(). Кроме того, Zend_Acl предоставляет Zend_Acl_Role в качестве базового класса, который разработчики могут расширять по желанию.

В Zend_Acl роль может наследовать от одной или от нескольких ролей. Это реализовано для поддержки наследования правил между ролями. Например, пользовательская роль, такая как "Салли", может принадлежать одной или нескольким родительским ролям, таким как "редактор" и "администратор". Разработчик может привязывать правила к "редактору" и "администратору" раздельно, и "Салли" будет наследовать правила обоих ролей. Нет необходимости привязывать правила непосредственно к "Салли".

Хотя множественное наследование ролей - очень полезная возможность, она также усложняет разработку. Следующий пример демонстрирует неопределенное условие и показывает, как Zend_Acl решает эту проблему.

Множественное наследование ролей

Следующий код определяет три базовые роли: "guest", "member" и "admin", от которых будут наследовать другие роли. Далее создается "someUser", он наследует от этих только что созданных трех ролей. Порядок, в котором эти роли появляются в массиве `$parents`, важен. При необходимости Zend_Acl ищет правила доступа не только для запрашиваемых ролей (в нашем случае, "someUser"), но и для ролей, от которых запрашиваемая роль унаследована (в нашем примере, "guest", "member" и "admin"):

    $acl = new Zend_Acl();

    $acl->addRole(new Zend_Acl_Role('guest'))
        ->addRole(new Zend_Acl_Role('member'))
        ->addRole(new Zend_Acl_Role('admin'));

    $parents = array('guest', 'member', 'admin');
    $acl->addRole(new Zend_Acl_Role('someUser'), $parents);

    $acl->add(new Zend_Acl_Resource('someResource'));

    $acl->deny('guest', 'someResource');
    $acl->allow('member', 'someResource');

    echo $acl->isAllowed('someUser', 'someResource') ? 'разрешен' : 'запрещен';

Поскольку нет правил, определенных специально для роли "someUser" и ресурса "someResource", то Zend_Acl должен производить поиск правил, которые могут быть определены для ролей, от которых "someUser" наследуется. Сперва проверяется роль "admin", и обнаруживается, что для нее не определены правила доступа. Затем проверяется роль "member", и Zend_Acl обнаруживает, что есть правило разрешающее доступ для "member" к "someResource".

Если бы Zend_Acl продолжил поиск правил, определенных для родительских ролей, то обнаружил бы, что для "guest" запрещен доступ к "someResource". Это пример показывает противоречие, так как теперь для "someUser" доступ к "someResource" разрешен и запрещен одновременно. Конфликт произошел по причине наследования от нескольких ролей.

Zend_Acl решает эту неоднозначность, завершая запрос, как только находит первое правило, которое может быть применено к запросу. В этом случае, если роль "member" проверяется раньше, чем роль "guest", то данный пример выведет "разрешен".

При определении нескольких родительских ролей, не забывайте, что последний указанный родитель будет первым в списке поиска правил для запроса авторизации.

## Создание списка контроля доступа (ACL)

Список контроля доступа (ACL) может представлять собой любое множество физических или виртуальных объектов. В целях демонстрации, мы создадим базовый функционал ACL для системы управления содержимым (CMS), который будет поддерживать нескольких уровней групп к множеству областей. Чтобы создать новый объект ACL, производим инстанцирование ACL без параметров:

    $acl = new Zend_Acl();

До тех пор, пока разработчик не определит какое-либо правило, разрешающее доступ, Zend_Acl отказывает всем ролям в доступе ко всем привилегиям на все ресурсы.

## Регистрация ролей

CMS почти всегда нуждаются в иерархии доступа для определения авторских возможностей своих пользователей. Это может быть группа "Гость", предоставляющая ограниченный доступ для демонстрации, группа "Сотрудник" - группа большинства пользователей CMS, которые производят каждодневные операции, группа "Редактор" - для тех кто публикует и редактирует, архивирует и удаляет контент, и, наконец, группа "Администратор", участники которой могут выполнять все операции, которые доступны участникам других групп, а также управлять закрытой информацией, пользователями, конфигурацией адинистративной части, делать резервное копирование данных и их экспорт. Этот набор прав доступа может быть представлен в реестре ролей, позволяя каждой группе наследовать привилегии родительской группы, при этом имея индивидуальные права доступа. Права доступа могут быть изображены в следующем виде:

Контроль за доступом для демонстрационной CMS

Название | Индивидуальные права | Права, унаследованные от
--- | --- | ---
Гость (guest) | Просмотр (view) | Не определено
Сотрудник (staff) | Редактирование (edit), предложение на публикацию (submit), исправление (revise) | Гость
Редактор (editor) | Публикация (publish), архивирование (archive), удаление (delete) | Сотрудник
Администратор (administrator) | (Обладает всеми правами) | Не определено

Для этого примера мы используем Zend_Acl_Role, но можно было бы использовать любой другой класс, реализующий интерфейс Zend_Acl_Role_Interface. Эти группы могут быть добавлены в реестр ролей следующим образом:

    $acl = new Zend_Acl();

    // Добавление групп в реестр ролей с использованием Zend_Acl_Role
    // Гость не наследует управление доступом
    $roleGuest = new Zend_Acl_Role('guest');
    $acl->addRole($roleGuest);

    // Сотрудник наследует от гостя
    $acl->addRole(new Zend_Acl_Role('staff'), $roleGuest);

    /*
    Делает то же самое, что и
    $acl->addRole(new Zend_Acl_Role('staff'), 'guest');
    */

    // Редактор наследует от сотрудника
    $acl->addRole(new Zend_Acl_Role('editor'), 'staff');

    // Администатор не наследует управление доступом
    $acl->addRole(new Zend_Acl_Role('administrator'));

## Определение контроля доступа

Теперь, когда ACL содержит все необходимые роли, можно определить правила, по которым роли будут иметь доступ к ресурсам. Вы, должно быть, заметили, что мы не определили ни одного отдельного ресурса для этого примера, это упрощает демонстрацию того, что правила применяются ко всем ресурсам. Zend_Acl предоставляет реализацию, посредством которой правила должны передаваться от общих к специфическим, минимизируя таким образом количество необходимых правил, так как ресурсы и роли наследуют правила, которые определены для их предков.

В целом, Zend_Acl подчиняется правилу, только если более точное правило не применимо.

В результате мы можем определить умеренно сложный набор правил минимальным кодом. Чтобы определить базовые права доступа, описанные выше:

    <?php
    require_once 'Zend/Acl.php';

    $acl = new Zend_Acl();

    require_once 'Zend/Acl/Role.php';

    $roleGuest = new Zend_Acl_Role('guest');
    $acl->addRole($roleGuest);
    $acl->addRole(new Zend_Acl_Role('staff'), $roleGuest);
    $acl->addRole(new Zend_Acl_Role('editor'), 'staff');
    $acl->addRole(new Zend_Acl_Role('administrator'));

    // Гость может только просматривать контент
    $acl->allow($roleGuest, null, 'view');

    /* другим способом, предыдущий блок кода может быть записан в таком виде:
    $acl->allow('guest', null, 'view');
    //*/

    // Сотрудник наследует привилегии просмотра у Гостя,
    // но также нуждается в дополнительных привилегиях
    $acl->allow('staff', null, array('edit', 'submit', 'revise'));

    // Редактор наследует привилегии просмотра, редактирования,
    // отправки и исправлений у Посетителя
    // но также нуждается в дополнительных привилегиях
    $acl->allow('editor', null, array('publish', 'archive', 'delete'));

    // Администратор не наследует ничего, но обладает всеми привилегиями
    $acl->allow('administrator');

Значение `NULL` в вызовах allow() в этом примере используется для указания того, что правила, предоставляющие доступ, действительны для всех ресурсов.

## Запросы к ACL

Теперь у нас есть гибкий ACL, который может использоваться для определения того, достаточно ли прав имеет запрашивающий, чтобы производить действия в веб-приложении. Используя метод isAllowed(), производить запросы довольно просто:

    echo $acl->isAllowed('guest', null, 'view') ?
         "разрешен" : "запрещен";
    // разрешен

    echo $acl->isAllowed('staff', null, 'publish') ?
         "разрешен" : "запрещен";
    // запрещен

    echo $acl->isAllowed('staff', null, 'revise') ?
         "разрешен" : "запрещен";
    // разрешен

    echo $acl->isAllowed('editor', null, 'view') ?
         "разрешен" : "запрещен";
    // разрешен потому, что редактор наследует от гостя

    echo $acl->isAllowed('editor', null, 'update') ?
         "разрешен" : "запрещен";
    // запрещен потому, что нет правила, разрешающего обновление (update)

    echo $acl->isAllowed('administrator', null, 'view') ?
         "разрешен" : "запрещен";
    // разрешен потому, что администратор обладает всеми привилегиями

    echo $acl->isAllowed('administrator') ?
         "разрешен" : "запрещен";
    // разрешен потому, что администратор обладает всеми привилегиями

    echo $acl->isAllowed('administrator', null, 'update') ?
         "разрешен" : "запрещен";
    // разрешен потому, что администратор обладает всеми привилегиями