allow_id + исключения

[pumbey]

Здравствуйте.
Есть в режике некоторые юзеры, которым какбэ можно все.
записывается просто
allow_id f:/usr/local/rejik/nachalstvo
и все вроде бы великолепно, но даже им хочется резать например баннеры и вирусы.
Я понимаю, что можно ко всем остальным правилам, приделать ACTION PASS, но помоему это как то кривовато.
Возможно есть какой нть вариант типа

<BANNER>
ban_dir /usr/local/rejik/banlists/banners
url http://127.0.0.1/ban/1x1.gif
FORBIDDEN_TO_ALL

Я понимаю, что это страдание за красоту конфига, но например raw_change работает для всех, даже кто в списке привелигерованных.

[Slava]

Проще прописать начальство как allow_id в каждой секции, а не глобально, за исключением баннеров.

FORBIDDEN_TO_ALL добавлять не хочется, конфиг станет менее однозначен для понимания.

[pumbey]

Ну это уже дело вкуса. Как фаерволы. Одна по умолчанию блокируют, а дальше идут разрешения, другие по умолчанию разрешают все.
Хотя имхо, система, запрещено все, что явно не разрешено предпочтительнее.
С другой стороны, полагаю, Ваш опыт в этом вопросе глобальнее. Посему пошел прописывать в каждую секцию )