Мелкозернистый контроль доступа

Внимание, впереди много фреймворков Zend!

Вы можете легко обрабатывать 1. и 2. с помощью Zend_Acl и Zend_Navigation.

Для номера 3 вам придется запросить объект ACL в вашей модели и многое сделать вручную. Вы также можете использовать Zend Framework для форм и включать специальные средства проверки элементов формы в зависимости от разрешения роли пользователя.

РЕДАКТИРОВАТЬ:

Если вам не хочется идти по маршруту ZF, вы можете хотя бы взглянуть на то, как ACL обрабатывается в ZF.

Если вы хотите создать реальный мелкозернистый контроль доступа (FGAC), просто проверьте мою статью на эту тему для MySQL:

MySQL 5.0 Мелкозернистый контроль доступа (FGAC)

В принципе, вы не хотите, чтобы ваш бизнес-код зависел от реализации FGAC, вы не хотите смешивать код FGAC в where предложении select утверждений ваших бизнес-правил. В этой статье показаны решения, позволяющие избежать загромождения инструкций SQL.

Я разработал библиотеку под названием PHP-Bouncer, которая, я думаю, очень хорошо удовлетворит ваши потребности. В настоящее время он поддерживает полностью управляемый доступ, который позволит вам использовать один вызов на каждой странице (я, конечно, рекомендую использовать include) и автоматически перенаправлять людей, если у них нет доступа к странице, а также автоматическое извлечение ролей из базы данных (если вы реализуете роли в БД с помощью включенного сценария настройки таблицы MySQL). Синтаксис довольно прост просто.

Вы создаете вышибалу:

$bouncer = new Bouncer();

Добавьте свои роли (вручную):

// Add a role     Name,      Array of pages role provides
    $bouncer->addRole("Public", array("index.php", "about.php", "fail.php"));
// Add a role          Name,              Array of pages role provides
    $bouncer->addRole("Registered User", array("myaccount.php", "editaccount.php", "viewusers.php"));
// Add a role          Name,   Array of pages role provides       List of pages that are overridden by other pages
    $bouncer->addRole("Admin", array("stats.php", "manageusers.php"), array("viewusers.php" => "manageusers.php"));

Или из базы данных:

// conf_* values are set in a config file, or you can pass them in explicitly
$bouncer->readRolesFromDatabase(conf_hostname, conf_username, conf_password, conf_schema, "mysql");

Добавьте пользователя и дайте ему несколько ролей (Примечание: Существует класс BouncerUser, который может быть расширен вашим классом пользователя, он предоставляет все необходимые функции ролей!):

$user->addRole("Logged In"); // This Role doesn't exist in the bouncer, but we can set it anyways if we feel like setting another flag on the user's account. This can be useful for displaying content in a page only if a user has a secondary role.
$user->addRole("Public");
$user->addRole("Registered User");

Затем позвольте Вышибале управлять доступом к вашим файлам:

$bouncer->manageAccess($user->getRoles(), substr($_SERVER["PHP_SELF"], 1), "fail.php");
// Any time the user tries to go to a page they don't have access to, they will get to
// fail.php. Any time they try to go to a page that is overridden for them, they will 
// get to the overriding page.

Если вы хотите показывать содержимое на странице только в том случае, если у пользователя есть разрешение на его просмотр, просто оберните это в:

if($user->hasRole("Registered User")){
    echo "The content";
}

Я думаю, что для проблемы, которую вы описали, это было бы отличным решением!