需要帮助设计访问控制列表 (ACL) 数据库结构

我需要 ACL（访问控制列表）系统的数据库设计方面的帮助。

商业规则

让我解释一下要求：

• 系统中的任何业务对象都将获得一个 ACL，该 ACL 明确定义了谁可以访问该对象。
• 我们的系统有用户组，ACL 将指定哪些组可以访问该对象。
• 任何用户都可以成为 N 个组中的成员。
• 如果用户不包含在 ACL 中，她甚至不会看到这些对象。

目前的考虑

有些表可以容纳数十万个这样的业务对象，因此我需要一个可以快速为它们选择“可见”行的设计。

我的想法是在ACL_ID带有业务对象的表中添加一个。假设我有一张桌子Orders，我需要控制可访问性：

CREATE TABLE Orders
(
    ID  int not null,

    ... lots of columns with relevant information

    ACL_ID  int not null
);

我将ACL_ID限制为外键的列添加到AccessControlList表中：

CREATE TABLE AccessControlList
(
    ACL_ID int not null,

    ... any needed information
);

另一个表可以保存列表中包含的用户组：

CREATE TABLE AccessControlListItem
(
    ACL_ID int not null,
    USER_GROUP_ID not null
);

定义了哪些用户组可以访问这些AccessControlList元素。如果我有 100 个不同的组，我可以定义来自 3 个组的用户可以访问该行。

AccessControlLists由于可能存在数百万个业务对象，我认为为不同的组合创建行可能会更好。例如，如果用户组“A”、“B”和“C”包含在 ID = 125 的列表中，我可以将此 ACL 重用于具有相同组合的任何业务对象。如果有人将组“D”添加到 ACL，我需要创建一个具有新 ID 的新列表。然后 ACL 将被“延迟创建”：每次我需要一个新的组合时，我都会创建一个新列表。当然，我需要一个“垃圾收集器”来消除不再使用的列表，或者我留下它们，因为它们可以在以后创建。

好的，现在我将AccessControlList表中的元素数量从数百万个对象减少到数千个。无论如何，我相信设计对于查询来说会非常昂贵。除了 ACL 之外，没有任何其他过滤器的订单查询可能是这样的：

select <columns> from Orders where ACL_ID IN (
      select ACL_ID from AccessControlList where USER_GROUP_ID IN (
           <select the groups for the current user>)
)

用户可能是 100 个不同 ACL 中的成员。

问题

有类似设计的经验吗？关于其他实现方式的任何评论？如果有任何想法或意见，我将不胜感激。非常感谢。