должно быть выполнено или должно быть выполнено до того, как произойдет действие, чтобы изменить базу данных?

Question

Должны ли выполняться проверки чтения/записи записей в базе данных пользователями перед чтением/записью фактических данных? Или можно просто применить все это в одном запросе?

ie.

assertUserCanViewClassRoom($classroomId, $userId, $userRole); 
assertUserCanRemoveStudent($classroomId, $userId, $userRole); 

Или Если проверка должна быть завершена в sql мероприятия?

viewClassRoom($classroomId, $userId, $userRole); 
removeStudent($classroomId, $userId, $userRole); 

Me Being Слишком Многословный (ака Словесный)

Теперь я собирался изменить все запросы, просто чтобы убедиться, что пользователи делают действия разрешено делать так, где пользователи имеют доступ для чтения/обновления записей в таблице B, которые они могут создать или их роли, позволяют им игнорировать записи, принадлежащие меньшим пользователям (например, администраторы, преподаватели, учащиеся)

В настоящее время этот процесс позволяет любому пользователю изменять записи (ужасная практика). Учитель A может просмотреть информацию о Учителе B и изменить ее, добавив/удалив учащихся из класса. Простая проверка идентификатора учителя идеально предотвратила бы это действие даже из-за происходящего.

Должен ли я поставить чек перед доступом к этой записи, чтобы проверить, имеет ли Teacher X разрешение на запись id = Y в таблицу B. Это звучит здорово, но действительно ли это? Я делаю двойную работу, чтобы проверить сначала, чем читать/записывать данные?

Я думал, что это будет просто изменить оператор запроса, который присоединяется к таблицы, основанной на идентификатор пользователя или роли пользователя разрешения к записи, которая будет изменяться.

Мне посоветовали сделать предварительную проверку, которая звучит великолепно, но теперь я делаю потенциально дополнительный трафик для базы данных, чтобы завершить то, что я считаю простой транзакцией чтения или записи. Я вроде как смотрю на это, как на подтверждение или проверку через sql, чтобы убедиться, что пользователь может выполнить задачу, а не выполнять ее.

Является ли эта стандартная практика для утверждений/проверок разрешения? Проверьте сначала, чем простую функцию для обновления, вставки или удаления? (помните, что Delete никогда не используется). Если это не так, то что было бы лучшим предложением?

Дополнительная информация Система настроена так, чтобы пользователь мог прочитать свои собственные данные, но с некоторыми простыми изменениями пользователи могут действительно читать чьи-либо данные.

Проект PHP с MySQL бэкэндом все объектно-ориентированном

Answer 1

Всегда проверяйте первым, если вы осторожны, особенно если вы не очень уверены в своих проверках санитарной обработки.

Таким образом, вы могли бы сделать простой

SELECT is_admin FROM users WHERE user = '{$userid}'; 

и т.д. Если is_admin верно, то вести с выбора/обновления/скрипт вставки. Если нет, запретите доступ.