OOP e sicurezza: classi in lato admin e permessi

[geggino]

La domanda probabilmente è banale, ma ho dei dubbi al riguardo.
Supponiamo di lavorare su un'area riservata di un sito, e di realizzare quindi una pagina con una form, che richiamerà poi i metodi di una classe per l'inserimento su db
Ad esempio
scheda.php (la classe vera e propria che esegue la query al db)
form.php (la form, in pratica solo codice html e poco altro)
conferma.php (prende i dati dalla form, crea oggetto da classe scheda, richiama i metodi pubblici della classe e visualizza eventuali errori)

Ora a livello di permessi, quindi per controllare che l'accesso non sia pubblico e per nascondere le pagine, io inserisco di solito dei controlli sulla form (form.php) e su (conferma.php).
In genere si tratta di un semplice controllo ad alcuni valori presenti nel db, del tipo se l'utente Mario appartiene alla categoria "utenti_abilitati" allora mostra la pagina, altrimenti ecc. ecc..

E' esatto secondo voi questo modo di procedere, oppure non basta e devo fare questo tipo di controllo anche all'interno della classe (ad esempio nel costruttore o per ogni metodo pubblico)?

grazie

[Alhazred]

Dipende dove sono i dati che verifichi poi sul db, se sono in sessione sei già suficientemente a posto, se invece per esempio passassi tramite url l'id dell'utente sarebbe pura follia, ma penso che tu non faccia così.

[geggino]

Il sistema è implementato all'interno di un cms. Tutti gli id degli utenti, ed il controllo relativo quindi ai permessi, avviene su dati in sessione.
Ma i dati passati dalla form, sono invece via Post.

[Alhazred]

Sì, ma se il tuo problema è solo di far eseguire le operazioni all'utente giusto, non ha importanza i dati come arrivano, ma solo come l'utente viene riconosciuto e da come dici ha l'id in sessione, quindi tutto ok.
Poi se vuoi parlare della correttezza e sicurezza dei dati in arrivo dal form è un altro discorso.

[geggino]

Sì, ma se il tuo problema è solo di far eseguire le operazioni all'utente giusto, non ha importanza i dati come arrivano, ma solo come l'utente viene riconosciuto e da come dici ha l'id in sessione, quindi tutto ok.
Poi se vuoi parlare della correttezza e sicurezza dei dati in arrivo dal form è un altro discorso.

certo quello è un altro discorso, e su quello ho già preso diverse misure. in questo caso il mio dubbio era proprio quello per cui mi hai risposto, cioè se inserire ulteriori controlli di autenticazione all'interno della classe o meno.
Grazie delle risposte.