Grundsätzlich landet jede Url im selben Script:

PATHINFO und QUERY werden von registrierten Filtern bearbeitet z.B. holt sich das Sessionmodul so die Sessionid. Der Rest wird in der Db nachgefragt.

Das Gruppenmodell alleine war mir doch zu wenig. Durch die zentrale Registrierung der Objekt als Eventhandler kann ich auch deren Rechte aus dem Handlerhash abfragen und sie in die DB (Tabelle 'rights') schreiben:

users<-userstogroups->groups<-groupstorights->rights

und sich damit beliebige Gruppen zusammmenstellen. Mit einem Flag in 'userstogroups' kann man auch festlegen, welcher User welche Gruppen zuordnen darf. Ich überlege, ob jede Aktion einen "Rollen"-Vorschlag machen darf, damit die Erstgruppierung einfacher wird.