[Sécurité] Gestion des fonctionnalités autorisées aux utilisateurs

[fayred]

Bonjour,

je conçois actuellement une application en local (qui ne nécessite donc pas trop de sécurité )comportant une quinzaine de fonctionnalités. Or, chaque utilisateur peut avoir acces à 1, 2, 3 ou plus fonctionnalités ( ces droits sont geres dans ma base de données.).
Ma question est donc : comment faire au niveau du code pour que les fonctionnalités apparaissent ou pas selon les droits?
C'est un peu le meme principe que sur dvp : par exemple le tableau de bord n'apparait pas si l'on est pas connecté.

Dans un autre projet, j'avais fait des profils Admin, user et invite et dans ma page je faisais un

Code :

1
2
3
4
 
switch droits
case : admin 
afficher menu_admin ; //...etc

Mais la je ne sais pas trop comment faire puisqu'il n'y a pas de profils.

Est-ce que ce serait une bonne solution que de verifier avant chaque affichage de fonctionnalité

Code :

1
2
3
 
if ($_session['droitsfonctionnalite']==true)
afficherfonctionnalite();

?

Pour explication : Dans ma base il ya une table etre_authorise associant une fonctionnalite et un utilisateur ainsi que true (authorisé) ou false.

Comme vous le voyez je suis un peu perdue...
Excusez moi si je me suis mal expliquée et n'hésitez pas à me demander.
Merci de votre aide.

[Raideman]

Ben ta solution me parait convenir. Puisqu'en effet, tes fonctions ne gèrent pas les droits directement. Tu dois donc toi meme définir une couche d'accès à ces fonctions directement dans ton code à l'aide des variables session par exemple.

[N1bus]

Bonjour,

Pour ma part , j'ai créé une application avec plusieurs niveaux d'administration.
A chaque utilisateur est attribué un niveau 0,1,2,3,4
qui est enregistré avec son profil dans un champ user_level que je récupère dans la session.

Puis dans le code je vais écrire :

Code :

1
2
3
4
 
if($_SESSION['user_level'] > 2){
// le code ou la fonction pour les admins niveau 3 et 4 
}

[|PaRa-BoL]

La solution qui offre le plus de possibilité est d'utiliser les flags binaire.

Avantages :

Ne stocker qu'une seule donnée dans la BDD/SESSION.
Facilité d'ajout/suppression/vérification de droit. (Opérations binaires)
Toute les combinaisons possible

Inconvénients :

Limité à 32 bit (généralement)