Атрибуты для разделов (папок) CMS с целью скрытия некоторых

Добре время суток. Возник такой вопрос, как лучше сделать. Кажеться, что я сильно все усложняю.
В общем ситуация. Есть разделы в CMS. В каждом разделе данные посортированы по папкам.
Нужно:
1) Скрыть некоторые данные от пользовалей (доступны только для привелийованых)
2) Запретить добавление некотрых данных в некоторые папки.
----------
Сделал вот что: для каждого пользователя выставляютсся парва (от 0 до 10) 10 это обычнй пользователь 0 админ.
Дальше возникает куча идей но все они мне не нравяться либо слишком сложно либо нелогично и можно запутаться.
--
1. Решил для каждой папки выставлять два атрибута
Права для просмотра и права для записи (добавления)
Скажем, если выставить 10/5 Пользователи могут только видеть содержимое папки, добавлять только модераторы (припустим у модераторов права 5)
Если выставить 5/10 то пользователи видеть содержимое не смогут, зато смогут добавлять новые элементы. Нужно для того, чтобы иметь возможность просмотреть модераторам что добавили, и только потом (если нужно) перенести в общедоступную папку.
Все-равно как-то заумно выглядит.
Дальше (к примеру галерея). Существуют такие категории

Код (Text):

1. Города/Мосва/2008
2. Города/Москва/2009
3. Города/Полтава/Лето
4. Города/Полтава/Зима

Папка "Москва" общедоступна, а "полтава" хочу сделать доступной только для моих знакомым. Ставлю права для чтения 8. Тоже есть варианты: либо скрыть пообще это папку, либо скрыть ее только содержимое.
[sql]SELECT * from folders where parent='города' and permission=>$user['permission'][/sql]
Если скажем выполнить выборку всех фоток, которые сделал Вася
[sql]Select * from fotos left join folders on (folders.permission=>$user['permission']) where folos.autor='Вася'[/sql]
Выборка всех фоток по автору "Вася" если они леат в "доступной" папке.
А если скажем эта фотка не в папке Полтава а в Полтава/лето
Так нужн "отслеживать" атрибуті для всех дочерних папок, чтоб они были не выше, чем в родительской...
В общем запутался, не знаю в какую сторону идты, подтолкните в нужном направлении, если это не тяжело.

 

То есть даже администратор сможет выставлять атрибуты для корневых папок? А трибуты дочерних папок полностью наследуют атрибуты родительских папок?
-------
Но все равно выборка из БД типа:
[sql]SELECT * FROM fotos WHERE author={$_GET['author']}[/sql]
Не учитывает права доступа. Ведь фотография может лежать в папке, к которой запрещен доступ прльзователей.

 

[sql]Create table folders (id integer primary key,
name text,
parent text,
title text,
createdate text default CURRENT_DATE,
permission integer....[/sql]
Создаю папку с определенными правами:
[sql]INSERT INTO folders (name, parent, title, permission) VALUES (folder, NULL, Папка, 7);[/sql]
Теперь, если я захочу создать подпапку в данной папке есть два варианта заблокровать опцию выбора атрибутов и автоматически прописывать в качестве атрибута атрибуты "верхней" папки, или не писать ничего.
1) В первом случае, если я изменю права на родительскую, нужно будет менять права и на все дочерние папки. Вариант мне не нравиться, но очень удобно выбрать записи.
[sql]Select * from fotos left join folders on (folders.permission=>{$user['permission']}) where fotos.autor='Вася'[/sql]
Запрос в даном случае верен?
2) Оставлять поле прав "пустым" так как они полностью такие же как и у родителя.
Но тогда даже не представляю, какой должен быть запрос к БД?
[sql]Select * from fotos left join folders on (folders.permission=>{$user['permission']}) where fotos.autor='Вася'[/sql]
Не прокатит, так как права (folders.permission) могут быть пустыми
[sql]INSERT INTO folders (name, parent, title, permission) VALUES (folder, NULL, Папка0, 7);
INSERT INTO folders (name, parent, title, permission) VALUES (1, folder, Папка1, NULL);
INSERT INTO folders (name, parent, title, permission) VALUES (2, 1, Папка2, NULL);
INSERT INTO folders (name, parent, title, permission) VALUES (3, 1, Папка3, NULL);
INSERT INTO fotos (parent, filename, author) VALUES (folder, aaa.jpg, VASIA);
INSERT INTO fotos (parent, filename, author) VALUES (2, bbb.jpg, VASIA);[/sql]
Что получилось: фотка aaa.jpg оказалась в папке с установленными атрибутами, а фотка bbb.jpg в папке "без атрибутов"поэтому вышеприведенный запрос по автору не сработает.
Конечно, если я захочу отобразить содержимое по категориям тут проблем не возникнет
[sql]SELECT * FROM folders WHERE permission>={$user['permission']}[/sql]
в результате папка folder не будет выбрана из БД, если права пользователя этого не позволяют... Тут проблем нет, все довольно-таки ясно..