Drupalのエンティティ（Entity）の権限管理設定は「access callback」を定義したほうが安全

/**
 * Implements hook_entity_info().
 */
function drills_ch_vocabulary_entity_info()
{
    return array(
        'my_vocabulary' => array(
            'label' => t('My Vocabulary'),
            'entity class' => 'MyVocabularyEntity',
            'controller class' => 'MyVocabulryController',
            'base table' => 'my_vocabulary',
            'fieldable' => TRUE,
            'entity keys' => array(
                'id' => 'entity_id',
                'label' => 'vocabulary',
            ),
            'bundles' => array(
                'my_vocabulary' => array(
                    'label'=>'My Vocabulary',
                    'admin' => array(
                        'path' => 'admin/structure/my-vocabulary/manage',
                        'access arguments' => array('administer my vocabulary'),
                        'controller class' => 'EntityDefaultUIController',
                    ),
                ),
            ),
            'view modes' => array(
                'full' => array(
                    'label' => t('Default'),
                    'custom settings' => FALSE,
                ),
            ),
            'module' => 'my_vocabulary',
            'access callback' => 'my_vocabulary_access',
        ),
    );
}

// entity/entity.module の659行あたり
function entity_access($op, $entity_type, $entity = NULL, $account = NULL) {
  if (($info = entity_get_info()) && isset($info[$entity_type]['access callback'])) {
    return $info[$entity_type]['access callback']($op, $entity, $account, $entity_type);
  }
}

• 自分が"access callback"をhook_entity_info()に定義していなくて、VBOの一括処理のチェックボックスが表示されなかったです（アクセス権限チェックが通れかなったせい）
  

• モジュール（Views）で検索結果をページとして表示することができます（主に表示系のページ、入力フォームはなし）
• モジュール（Panels）で各種要素を集めてページを作成します（主に表示系のページ、入力フォームなし）
• モジュール（Web Form）でコンタクト/アンケートなどのフォームページを作成（フォーム系、入力して、データをサーバーに送信して保存）

• hook_menu()を実装時に、いろいろなパラメーター設定が紛らわしくて、注意する必要があります
• Drupalのhook_menuでのURL設定にワイドカードの利用
• Drupalのhook_menuでのユーザーロール別アクセス権限管理
• 今回は、「page callback」パラメーターを詳細を説明します

• チェックボックスをクリックすると、ajaxでサーバーと交信する

  function ajax_add_to_my_vocabulary($form,&$form_state, $entity){
  
      global $user ;
  
      //  データがすでに存在するか否かのチェック
      $my_voca_result = db_query("SELECT entity_id FROM my_ch_vocabulary WHERE vid=".$entity->vid . " AND uid=".$user->uid)->fetchAll();
      //   ajaxコールバック時に使用するパラメーター
      $form_state['has_my_voca_result'] = count($my_voca_result)>0 ? true:false ;
      $form_state['ch_vocabulary'] = $entity ;  
  
      //　ajaxのチェックボックスフォーム定義
      $form['ch_voca_form']=array(
          '#type' => 'checkbox',
          '#disabled' => $user->uid == 0 ? true : false ,
          '#title' => count($my_voca_result)>0 ? t('<span id="ch-voca-check-op-'.$vid.'">Remove</span>') : t('<span id="ch-voca-check-op-'.$entity->vid.'">Add</span>'),
          '#default_value' => count($my_voca_result)>0 ? 1 : 0,
          '#ajax' => array(
              'callback' => 'add_to_my_vocabulary_callback',
              'wrapper' => 'ch-voca-check-op-'.$entity->vid,
              'method' => 'replace',
              'effect' => 'fade',
          ),
      );
      return $form ;
  }
  
  // ajaxのコールバック関数
  function add_to_my_vocabulary_in_views($form, $form_state){
  
      global $user;
  
      $entity = $form_state['ch_vocabulary'] ;
  
      // DBにデータがある場合に削除処理
      if( $form_state['has_my_voca_result'] ) {
          db_delete( 'my_ch_vocabulary' )->condition( 'vid', $entity->vid )->condition('uid', $user->uid )->execute();
          //  チェックボックスのラベルを「Add」に変更
          return t('<span id="ch-voca-check-op-'.$vid.'">Add</span>');
      }
  
      //　データがなければ、ch_vocabuaryをmy_vocabuaryにコピー
      $my_voca = entity_create('my_ch_vocabulary', array('vid'=>$entity->vid));
      $my_voca_wrapper = entity_metadata_wrapper( 'my_ch_vocabulary', $my_voca );
      $my_voca_wrapper->vocabulary->set( $ch_voca->vocabulary ) ;
      ....   //各種フィールド、プロパティのセット
      $my_voca_wrapper->save();   //　コピーされたデータの保存
  
      //  チェックボックスのラベルを「Remove」に変更
      return  t('<span id="ch-voca-check-op-'.$vid.'">Remove</span>');
  }

YOUR_MODULE_NAME_menu(){
  $items['your/path/%entity'] = array(
        'title' => 'Copy and Remove',
        'page callback' => 'ajax_add_to_my_vocabulary',
        'page arguments' => array(array(), array(), 2) ,
        'access arguments' => array('create my vocabulary'),
  );
}

• ajaxのチェックボックスフォーム「ajax_add_to_my_vocabulary」が表示されますが、<form>要素がなくて、ajaxの動作はしません
  

YOUR_MODULE_NAME_menu(){
 　$items['your/path/%entity'] = array(
　　　'title' => 'Copy and Remove', 
　　　'page callback' => 'drupal_get_form', 
　　　'page arguments' => array('ajax_add_to_my_vocabulary', 2) , 
　　　'access arguments' => array('create my vocabulary'), 
　　); 
}

• 作成されたフォームに"<form>"要素およびajaxの要素が含まれているのでajaxが正常に動作します
  

• 表示系ページ（データ更新なし）の場合は直接に呼び出せばよいです
• 入力フォーム系のページは"drupal_get_form"を介して呼び出します

• drupa_get_form, drupal_prepare_form, drupal_retrieve_formの違い
• これを使用する場合少し（どのぐらいは測定していないが）遅いかもしれないです

/**
 * Implements hook_entity_info().
 */
function drills_ch_vocabulary_entity_info()
{
    return array(
        'my_vocabulary' => array(
            'label' => t('My Vocabulary'),
            'entity class' => 'MyVocabularyEntity',
            'controller class' => 'MyVocabulryController',
            'base table' => 'my_vocabulary',
            'fieldable' => TRUE,
            'entity keys' => array(
                'id' => 'entity_id',
                'label' => 'vocabulary',
            ),
            'bundles' => array(
                'my_vocabulary' => array(
                    'label'=>'My Vocabulary',
                    'admin' => array(
                        'path' => 'admin/structure/my-vocabulary/manage',
                        'access arguments' => array('administer my vocabulary'),
                        'controller class' => 'EntityDefaultUIController',
                    ),
                ),
            ),
            'view modes' => array(
                'full' => array(
                    'label' => t('Default'),
                    'custom settings' => FALSE,
                ),
            ),
            'module' => 'my_vocabulary',
            'access callback' => 'my_vocabulary_access',
        ),
    );
}

// entity/entity.module の659行あたり
function entity_access($op, $entity_type, $entity = NULL, $account = NULL) {
  if (($info = entity_get_info()) && isset($info[$entity_type]['access callback'])) {
    return $info[$entity_type]['access callback']($op, $entity, $account, $entity_type);
  }
}

• 自分が"access callback"をhook_entity_info()に定義していなくて、VBOの一括処理のチェックボックスが表示されなかったです（アクセス権限チェックが通れかなったせい）