Milyen módszerrel tárolnátok jogosultsági szinteket?

#4-es te szerintem valamit félreértesz, nem arról van szó, hogy minden alkalmazásuserhez külön DB user lenne létrehozva, csak a userek adatait egy normál alkalmazástáblában tároljuk. Ez teljesen általános minden rendszerben, hol máshol tárolnád?

Kérdező: én nem látok biztonsági problémát abban, ha az adatbázisban tárolod a jogosultság szinteket. Ha valaki azt át tudja updatelni, akkor gondolom bármi mást is az összes többi táblában, tök mindegy már hogy alkalmazásszinten milyen hozzáférése van, nem?

Ha csak szigorúan előre definiált hierarchikus hozzáférési szintek lesznek akkor lehet egy oszlop a user táblában, és behardkódolod az alkalmazáslogikába, hogy melyik mit csinálhat. De ha van rá esély, hogy a jövőben a változnak a hozzáférési szintek, akkor csináld úgy ahogy a #3-as írta.

Lehet, hogy tényleg túlgondoltam.

Én az alábbi részt úgy értettem, hogy a felhasználónak fizikai hozzáférése lesz az adatbázishoz (ez lett volna az anti-pattern):

"hiszen ha valaki hozzáfér az adatbázishoz akkor csak szimplán átírja a jogosultságot."

De ha nem erről van szó, akkor nyilván csak annyi teendő van, hogy szoftverből nem engeded neki szerkesztenie a jogosultságát (ha mezei felhasználó) és akkor nem tud illetéktelen jogot szerezni magának. Nem is értem mit kell ezen magyarázni. Értelemszerűen SQL injection-re is gondolni kell, ha van olyan beviteli mező.