Как ограничить перемещение пользователя по личному кабинету?

[serg123]

Пожалуйста подскажите решение или "где спросить"?
Задача: ограничить перемещение пользователя по личному кабинету вебсайта. Доступ к коду только тот, что предоставляет вебсайт.
Пример: торговля через сайт. Есть доступ к торговым операциям, но нет доступа к личным данным или "выводу денег". Т.е. я провожу авторизацию в лич.каб., запускаю "программу", после чего у оператора есть возможность осуществлять торговые операции, но нет возможности перейти в другие разделы личного кабинета
Пояснение:
условная структура личного кабинета
три раздела
http://site.ru/торговля/....
http://site.ru/лич.данные/....
http://site.ru/вывод-ввод/....
Если http://site.ru/торговля/ меняется на другое, происходит выход из личного кабинета

PS пример условный, требуется защита от "простого любопытства"

[Switch74]

пользователь которому дается разрешение должен как-то узнаваться, значит он как-то авторизуется и вы его сможете отличить от других скажем по его id
варианты есть такие:
1. разрешать заходить на данные страницы пользователям добавленным в определенные группы
http://site.ru/торговля/.... - torg
http://site.ru/лич.данные/.... - lich
http://site.ru/вывод-ввод/.... - input
где-то у вас должна храниться связь id пользователя и группы и сами группы, например в базе с подобной структурой
rules
id_user | id_group
1            | 1
1            | 2
2            | 2
group
id | group
1  | torg
2  | lich
3  | input
это значит
что пользователь с id 1 имеет доступ в "торговлю" и "личные данные"
а пользователь с id 2 только в "личные данные"
2. тупо создавать файлик например rules в папках со списком пользователей которым доступ туда разрешен
http://site.ru/торговля/rules
1
http://site.ru/лич.данные/rules
1
2
тоже самое что и в базе мы делали
первый пользователь имеет доступ в "торговлю" и "личные данные"
второй только в "личные данные"

проверять права нужно перед отдачей страницы пользователю