Организация ролей в приложении

<?php
 
// http://php.net/manual/ru/function.session-name.php
session_name();
 
session_start();
 
echo '<pre>';
 
$host = 'localhost'; // адрес сервера
$database = 'users'; // имя базы данных
$user = 'root'; // имя пользователя
$password = ''; // пароль
$link = mysqli_connect($host, $user, $password, $database);
 
// id юзера, пока вручную, потом через отдельный запрос или через куки
$user_id = 2;
 
// таблица с которой потом будет работать модель
$table = 'content_category';
 
// подтягиваем информацию о юзере
$query1 = "
SELECT
*
FROM
users
INNER JOIN
role
ON
users.role_id = role.id
WHERE 
users.id = {$user_id}
";
$result1 = mysqli_query($link, $query1) or die("Ошибка " . mysqli_error($link));
$row_cnt1 = $result1->num_rows;
if ($row_cnt1 !=0) {
    $array1 = [];
    foreach ($result1 as $res1) {
        // $array1[]['user_info'] = $res1;
        $array1[] = $res1;
        // var_dump($array1);
    }
} else {
    echo "Пользователя с идентификатором $user_id - не существует";
    return false;
}
 
// подтягиваем информацию о привелегиях юзера
$query2 = "
SELECT
*
FROM
user_privelege_cache
WHERE
users_id = $user_id
";
// можно добавить условие о выборке конкретного модуля, равного $table
// AND
// module = '$table'
// подумать, лучше скорее всего, оставить ВСЕ в сессии и куки всю информацию, чтобы не нагружать сервер запросами
// в куки не вариант, большой размер
// можно добавить кэш-таблицу с идентификатором сессии и всеми данными + срок хранения = сроку куки, затем автоудаление / обновление
 
$result2 = mysqli_query($link, $query2) or die("Ошибка " . mysqli_error($link));
$row_cnt2 = $result2->num_rows;
if ($row_cnt2 !=0) {
    $array2 = [];
    foreach ($result2 as $res2) {
        // $array2[]['privelege'] = $res2;
        $array2[] = $res2;
        // var_dump($res2);
    }
    $result_for_union_session = array_merge($array1, $array2);
} else {
    $result_for_union_session = $array1;
}
// var_dump($result_for_union_session);
 
// запихиваем всю информацию в сессию
$_SESSION['user_info'] = $result_for_union_session;
var_dump($_SESSION['user_info']);
 
$query3 = "
SELECT
*
FROM 
{$table}
";
$result3 = mysqli_query($link, $query3) or die("Ошибка " . mysqli_error($link));
$i=0; // для счетчика прохода по массиву
foreach ($result3 as $res3) {
    $i++;
    // проверяем активность страниц
    echo '<p>';
    echo '<b>активность страниц</b>';
    echo '<p>';
    if ($res3['is_active'] == 1) {
        echo "Страница ".$res3['category_name']." активна <p>";
    } else {
        // return false;
        echo "Страница ".$res3['category_name']." не активна <p>";
    }
 
    echo '<p>';
 
    // проверяем доступ группы: access_group
    echo '<p>';
    echo '<b>доступ группы: access_group</b>';
    echo '<p>';
    if ($res3['access_group'] !== null) {
        // разбиваем в массив значения доступа группы из таблицы модуля
        $access_group = explode(',', $res3['access_group']);
        // var_dump($access_group);
        if ((in_array($_SESSION['user_info'][0]['role_id'], $access_group)) || $_SESSION['user_info'][0]['tag'] == 'admin') {
            echo "Доступ группы ".$_SESSION['user_info'][0]['description']." к ограниченной странице ".$res3['category_name']." разрешен (access_group) <p>";
        } else {
            // return false;
            echo "Доступ группы ".$_SESSION['user_info'][0]['description']." к ограниченной странице ".$res3['category_name']." запрещен (access_group) <p>";
            $err = [];
        }
    } else {
        echo "Страница ".$res3['category_name']." доступна всем группам пользователей<p>";
    }
 
    // проверяем доступ конкретной привелегии: access_private
    echo '<p>';
    echo '<b>доступ конкретной привелегии: access_private</b>';
    echo '<p>';
    if ($res3['access_private'] !== null) {
        // разбиваем в массив значения доступа конкретной привелегии из таблицы модуля
        $access_private = explode(',', $res3['access_private']);
        if ((in_array($_SESSION['user_info'][0]['id'], $access_private)) || $_SESSION['user_info'][0]['tag'] == 'admin') {
            echo "Доступ юзера (ID: ".$_SESSION['user_info'][0]['id']." name: ".$_SESSION['user_info'][0]['name'].") к ограниченной странице ".$res3['category_name']." разрешен (access_private) <p>";
        } else {
            // return false;
            echo "Доступ юзера (ID: ".$_SESSION['user_info'][0]['id']." name: ".$_SESSION['user_info'][0]['name'].") к ограниченной странице ".$res3['category_name']." запрещен (access_private) <p>";
            $err = [];
        }
    } else {
        echo "Доступ к странице не привязан к конкретному пользователю (столбец 'access_private')";
    }
 
    // проверяем доступ с к своим статьям
    echo '<p>';
    echo '<b>доступ с к своим статьям</b>';
    echo '<p>';
 
    if ($_SESSION['user_info'][0]['only_my_article'] !=0) {
        echo 'Только свои статьи - ДА / ' . $_SESSION['user_info'][0]['only_my_article'];
        echo '<p>';
        if ($_SESSION['user_info'][0]['id'] != $res3['autor']) {
            echo 'Допуск к статье запрещен';
            $err = [];
            // $err[] = " описание ошибки ";
        } else {
            echo 'Допуск к статье разрешен';
        }
    } else {
        echo 'Только свои статьи - НЕТ / ' . $_SESSION['user_info'][0]['only_my_article'];
    }
 
    echo '<p>';
    echo '<b>Итоговая оценка доступа: </b>';
    if (isset ($err)) {
        echo '<p>';
        echo '<b><div style="color: #C20000;">Доступ запрещен </div></b>';
        /*
        foreach ($err as $e) {
            echo " <div style=\"background-color: #FF0000;\"><b>$e</b></div><br> ";
        }
        */
    } else {
        echo '<p>';
        echo '<b><div style="color: #00C21B;">Доступ разрешен </div></b>';
    }
 
    echo '<p>';
 
    // ПРАВА: чтение, запись ...!
    echo 'ПРАВА: чтение, запись ...';
    echo '<p>';
    // var_dump($_SESSION['user_info'][$i]['privelege_id']);
    // $p_arr = array($_SESSION['user_info'][$i]['privelege_id']);
    // var_dump($p_arr);
    $p_arr = explode(',', $_SESSION['user_info'][$i]['privelege_id']);
    // var_dump($p_arr);
    foreach ($p_arr as $value) {
        $query3 = "
        SELECT
        *
        FROM privelege
        WHERE
        id = $value
        ";
        $result3 = mysqli_query($link, $query3) or die("Ошибка " . mysqli_error($link));
        foreach ($result3 as $res) {
            echo '<button>' . $res['description'] . '</button>';
        }
    }
 
    echo '<p>';
    echo '-------------------';
    echo '<p>';
}
 
// не забыть, что доделать в фреймворке:
// нельзя удалить администратора, если их один
// нельзя ставить доступ конкретной привелегии (access_private), если пользователь не относится к группе допуска (access_group)
// можно создать массив зо значениями true / false (или иная метка) по каждому проходу и если есть в нем false - то отказ
// вообще потом первую часть [0] - в БД а остальное запрашивать, подумать
// не забыть добавить об админе условие ||

// http://framework-development/testquery
// TODO: OK - перепроверить каскадное удаление
 
class UserAccess extends Model {
 
    // таблица-модуль сайта
    // обязательно передавать при вызове класса
    // закомментировать при завершении, т.к. свойство является наследуемым
    protected $table = 'module_content_category';
 
    // информация о пользователе и его правах, доступах
    // private $userInfo;
 
    // флаг проходимости
    // TODO: пока не использован, предполагается в итоговой оценке
    private $access = false;
 
    // допустимые действия: создание, чтение, редактирование, удаление
    private $action = [];
 
    // обязательные поля которые должны присутствовать в таблице модуля БД
    private $fieldTableDb = [
        'is_active' => 'is_active',
        'access_group' => 'access_group',
        'access_private' => 'access_private',
        'author' => 'author',
    ];
 
    public function __construct($table = '') {
        parent::__construct();
        // TODO: расскоментировать по завершении
        $this->table = ($table) ? '$table' : self::setTableModel();
    }
 
    // $pageId - Id страницы соответственно передать как часть роутера строки запроса URL
    // если не передана из контроллера, осуществляет поиск прав, действий и допусков в массиве всех строк таблицы
    public function getAccess($pageId = '') {
 
        // TODO: расскоментировать по окончании
        if ($this->table && self::checkIssetTable() && self::checkIssetField() && $_SESSION[AUTH_SESSION]) {
        // if ($this->table && self::checkIssetTable() && self::checkIssetField()) {
 
            // $userBaseInfoSql
            // возвращаем базовую информацию о пользователе типа:
            //    Array
            //    (
            //        [0] => Array
            //            (
            //                [id] => 51
            //                [description] => Администратор
            //                [tag] => admin
            //                [role_id] => 1
            //                [only_my_article] => 1
            //            )
            //    )
            // почему так, не сразу сбор данных из сессии?
            // потому что во время активной сессии статус пользователя может поменять лицо, обладающее соответствующими правами
            // лишняя проверка не повредит даже
            // return array
            $userBaseInfoSql = $this->queryFetch("
            SELECT
            users_role.*,
            users_users.id,
            users_users.role_id,
            users_users.only_my_article
            FROM users_users
            INNER JOIN users_role
            ON users_users.role_id = users_role.id
            WHERE users_users.id = ?
            AND users_users.is_active = ?
            ", [$_SESSION[AUTH_SESSION]['id'],1]);
            // 51 - admin
            // 5 - moder
            // TODO: $_SESSION[AUTH_SESSION]['id']
            // debug($userBaseInfoSql);
            $userBaseInfo = $userBaseInfoSql[0];
            // debug($userBaseInfo);
            // todo: OK - при пустом массиве (users_users.is_active = 0) также отрабатывает. сделать условие, если массив не пустой (NULL)
 
            // $fieldTableDb = implode(',', $this->fieldTableDb);
 
            // условие о выборке конкретной страницы, если она была передана
            // $pageId = 3;
            if ($pageId) {
                $where = 'WHERE id = ?';
                $id = $pageId;
            }
            $resQueryModulePages = $this->queryFetch("SELECT * FROM {$this->table} $where", [$id]); // todo: OK - предусмотреть привязку к конкретной странице
            // debug($resQueryModulePages);
 
            // проходимся по массиву страниц / столбцов модуля
            // $i=0; // для счетчика прохода по массиву прав чтение, запись ...
            foreach ($resQueryModulePages as $modulePage) {
 
                // debug($modulePage);
 
                //
                // проверяем доступ группы: access_group
                //
                // echo '<p><b>доступ группы: access_group</b></p>';
 
                if ($modulePage['access_group'] !==null) {
                    // разбиваем в массив значения доступа группы из таблицы модуля
                    $access_group = explode(',', $modulePage['access_group']);
                    // debug($access_group);
                    if ((!in_array($userBaseInfo['role_id'], $access_group))) {
                        $err = [];
                    }
                }
                // потом сократить код else
 
                //
                // проверяем доступ конкретной привелегии: access_private
                //
                // echo '<p><b>доступ конкретной привелегии: access_private</b></p>';
                if ($modulePage['access_private'] !==null) {
                    $access_private = explode(',', $modulePage['access_private']);
                    // debug($access_private);
                    if ((!in_array($userBaseInfo['id'], $access_private))) {
                        $err = [];
                    }
                }
                // потом сократить код else
 
                //
                // проверяем доступ с к своим статьям todo: доработать с меткой "только свои"
                //
                // echo '<p><b>доступ с к своим статьям</b></p>';
                if ($userBaseInfo['only_my_article'] !=0) {
                    // echo 'Только свои статьи - ДА=1 / НЕТ=0: ' . $userBaseInfo['only_my_article'];
                    if ($userBaseInfo['id'] != $modulePage['author']) {
                        $err = [];
                        // $err[] = " описание ошибки ";
                    }
                }
 
                // echo '<p><b>Итоговая оценка доступа (по циклу статьи):</b></p>';
                if (isset($err) && $userBaseInfo['tag'] !== 'admin') {
                    // echo '<p>';
                    // echo '<b><div style="color: #C20000;">Доступ запрещен </div></b>';
                    // foreach ($err as $e) {
                    //     echo " <div style=\"background-color: #FF0000;\"><b>$e</b></div><br> ";
                    // }
                    // self::accessDeniedView();
                    if ($pageId) {
                        self::accessDeniedView();
                    }
                } else {
                    debug($modulePage);
                    echo '<p>';
                    echo '<b><div style="color: #00C21B;">Доступ разрешен </div></b>';
                    // echo '<p><b>ПРАВА: чтение, запись ...</b></p>';
                    if ($userBaseInfo['tag'] == 'admin') {
                        $resAction = $this->queryFetch("SELECT * FROM users_privelege");
                        $this->action = $resAction;
                        foreach ($resAction as $action) {
                            echo '<button>' . $action['description'] . '</button>';
                        }
                    } else {
                        $getPrivelege = $this->queryFetch("SELECT * FROM users_privelege_cache WHERE users_id = ? AND module = ?", [$userBaseInfo['id'], $this->table]);
                        // var_dump($getPrivelege);
                        if (!empty($getPrivelege)) {
                            // debug($getPrivelege);
                            $arrAction = explode(',', $getPrivelege[0]['privelege_id']);
                            // $arrAction[] = 2; // добавление действия как чтение, раз допустимы другие todo: нет, лучше добавлять чтение при присоении прав
                            // debug($arrAction);
                            $actionArr = [];
                            foreach ($arrAction as $item) {
                                $resAction = $this->queryFetch("SELECT * FROM users_privelege WHERE id =?", [$item]);
                                foreach ($resAction as $action) {
                                    echo '<button>' . $action['description'] . '</button>';
                                    $actionArr[] = $action['action'];
                                }
                                $this->action = $actionArr;
                            }
                        }
                        $this->access = true;
                    }
                }
                unset($err);
            }
        } else {
            if ($pageId) {
                $and = 'AND id = ?';
                $id = $pageId;
            }
            $resQueryModulePages = $this->queryFetch("SELECT * FROM {$this->table} WHERE {$this->fieldTableDb['is_active']} !=0 AND {$this->fieldTableDb['access_group']} IS NULL $and", [$id]);
            debug('GUEST PAGE');
            if (!empty($resQueryModulePages)) {
                debug($resQueryModulePages);
            } else {
                self::accessDeniedView();
            }
            // todo: OK - не отсеял ограничения групп
        }
    }
 
    public function getAction() {
        return $this->action;
    }
 
    public function accessResult() {
        return $this->access;
    }
 
    private function accessDeniedView() {
        http_response_code(403);
        $errorController = new Page403();
        $errorController->getView();
        die();
    }
 
    // это случай, когда мы можем подтянуть имя таблицы модуля,
    // если она задана в конструкторе модели контроллера
    // в ином случае нам нужно будет явно передавать имя таблицы, с которой будет работать класс
    // возвращает имя таблицы-модуля через метод getTable() родительского класса core/Model.php
    private function setTableModel() {
        try {
            $model = Router::getController() . 'Model';
            $obj = new $model;
            return $obj->getTable(); // метод core/Model.php вернуть имя таблицы
        } catch (Throwable $t) {
            http_response_code(404);
            debug('Сообщение от lib/UserAccess.php (setTableModel()): Класса ' . $model . ' для подключения таблицы модуля - не существует');
            debug($t->getMessage());
            return false;
        }
    }
 
    // функция наличия таблицы модуля
    // в принципе, чевидно и при создании модели, движок РНР сам сообщит
    // здесь реализация пока не нужна. напишем при необходимости
    // тогда CREATE TABLE IF NOT EXISTS table_name - не тут вообще
    private function checkIssetTable() {
        $isset = $this->queryFetch("SHOW TABLES LIKE ?", [$this->table]);
        if ($isset == null) {
            debug('Сообщение от lib/UserAccess.php (checkIssetTable()): таблицы '.$this->table.' не существует');
            return false;
        } else {
            return true;
        }
    }
 
    // функция проверки наличия обязательных полей таблицы модуля
    private function checkIssetField() {
        try {
            $fieldTableDb = implode(',', $this->fieldTableDb);
            $this->queryFetch("SELECT {$fieldTableDb} FROM {$this->table}");
            return true;
        } catch (Throwable $t) {
            http_response_code(404);
            debug('Сообщение от lib/UserAccess.php (checkIssetField()): отсутствуют обязательные поля в таблице '.$this->table.' ');
            debug($t->getMessage());
            return false;
        }
    }
 
    // не забыть, что доделать в фреймворке:
    // нельзя удалить администратора, если их один
    // нельзя ставить доступ конкретной привелегии (access_private), если пользователь не относится к группе допуска (access_group)
    // можно создать массив зо значениями true / false (или иная метка) по каждому проходу и если есть в нем false - то отказ
    // вообще потом первую часть [0] - в БД а остальное запрашивать, подумать
    // не забыть добавить об админе условие ||
}

  $u = new UserAccess();
        // debug($u);
        $u->getAccess();
        $action = $u->getAction();
        debug('action: ');
        debug($action);
        $access = $u->accessResult();
        var_dump($access);
        if ($access) {
            echo '$access OOOKKK';
        }