CakePHP: Проверить авторизацию во взглядах

Question

Я использую CakePHP в своем проекте, и я ищу подходящий способ проверить расширенные права пользователей в моих представлениях.

У меня есть несколько страниц, в которых содержание зависит от ваших прав (вы можете просматривать некоторые блоки или нет, изменить некоторые Infos или нет, и т.д. ...)

Я искал и единственный способ, которым я нашел это реализовать Auth Helper, но я подумал, что лучший способ - реализовать методы в моем «UserController» (например, canPerformAction ($ action, $ controller = 'default_controller)), я ошибаюсь? И если я прав, как правильно назвать эти методы?

Спасибо.

EDIT: Других уточнений

Например, у меня есть действие «editEventProducts», что пользователь может выполнять только тогда, когда он является владельцем события и если статус события < = 2.

проверить что в моем контроллере функция isAuthorized работает как шарм.

Но у меня есть страница под названием «eventDetails», форма которой вы можете выполнять несколько действий, таких как этот, и я хочу показать кнопку редактирования, только если вы можете это сделать.

Если факт, что мне нужно, является результатом функции «isAuthorized» для каждого действия, которое вы можете вызвать, но могу ли я правильно его получить из представления?

Решение

Я реализовал помощник Auth, который делает несколько проверки таких, как этот, который, наконец, белый список проверки, в зависимости от состояния моего мероприятия, надеюсь, что это поможет, код:

App::uses('AppHelper', 'View/Helper'); 

class AuthHelper extends AppHelper { 

var $helpers = array('Session'); 

private $_whitelist = array(
    'controller1' => array(
     'events' => array(
      'action1'  => array(1 => true, 2 => true), 
      'action2'  => array(1 => true, 2 => true), 
      'action3'  => array(3 => true), 
      'action4'  => array(6 => true) 
     ) 
    ), 
    'user' => array(
     'controller1' => array(
      'action1'  => array(1 => true, 2 => true), 
      'action2'  => array(1 => true, 2 => true) 
     ) 
    ) 
); 

public function canPerformAction ($action, $event_infos, $controller = 'events') { 
    return isset($this->_whitelist[$this->Session->read('Auth.User.role')][$controller][$action][$event_infos['Event']['state_id']]); 
} 
} 

Answer 1

Что вам нужно, это называется авторизации, и процесс выдачи/отказа в акции, как правило, построены на вершине аутентификации шаг, который отображает HTTP запросов логических пользователей.

Схема авторизации может быть реализована несколькими способами, например, с помощью простых правил на основе ролей, где пользователи сгруппированы точно для назначения прав или с более сложными списками контроля доступа (ACL). Оба могут быть приняты одновременно для разных частей системы в зависимости от ваших потребностей.

Какую бы схему вы ни выбрали, вам абсолютно необходимо запросить ее в начале действий ваших контроллеров (если применимо, вы можете и со стандартным фильтром авторизации в своем AppController), потому что HTTP-запрос не требуется от ранее отправленной страницы HTTP, но может быть (возможно) вредоносной, ручной. Кроме того, вам, скорее всего, придется настроить пользовательский интерфейс после прав пользователя. Возможно, вам лучше начать с кучи операторов if, а затем после нескольких дней работы вы сможете определить свои потребности и собрать свои библиотеки/помощники/блоки/все, чтобы избежать дублирования кода и облегчения чтения шаблонов.

Answer 2

вы можете вызвать функцию контроллера с точкой зрения использования

requestAction(string $url, array $options) 

Или вы можете создать свою собственную Помощь er, который сделает это за вас!

Answer 3

Если у вас есть предопределенные разрешения пользователя (например, «admin», «moderator», «editor», «publisher» ...), вы можете просто прочитать роль пользователя, а текущее действие в функции контроллера isAuthorized и установить его правда или ложь.

Если вы хотите получить пользовательские разрешения для каждого пользователя, вы можете сохранить эти значения в базе данных, прочитать их в функции isAuthorized и сделать свою логику, чтобы определить, разрешить ли вам это или нет.

Мое решение это отдельная таблица user_permissions, что было что-то вроде этого:

user_id | action 

, где действие будет `контроллер/действие» или „вид/блок“ или что вы хотите, чтобы сохранить там.

Я бы прочитал все значения для текущего пользователя в контроллере, и если текущий контроллер/действие было найдено в массиве, я бы установил isAuthorized в true. Вы также можете применить свою логику к блокам.

Answer 4

Это звучит так, как будто вы просто хотите отобразить некоторые части представления на основе разрешений пользователя. Ну, в этом случае я считаю, что помощник - правильный выбор. Пользователь должен иметь все разрешения, которые он загрузил, за исключением того, что они очень мелкие и у вас есть тысячи разрешений.

Проверьте это AuthHelper, это позволяет проверить, вошел ли пользователь в систему, для роли или набора ролей в поле. В качестве альтернативы можно реализовать собственное решение, соответствующее вашей системе разрешений.

Обратите внимание, что хелпер полагается на передачу пользовательских данных в представление в переменной вида. Он также может быть сконфигурирован так, чтобы напрямую считывать данные из первой части сеанса.

Вот пример взят из его documentation:

if ($this->Auth->isLoggedIn()) { 
    echo __('Hello %s!', $this->Auth->user('username')); 
} 

if ($this->Auth->isMe($record['Record']['user_id']) { 
    // or your edit button here 
    echo '<h2>' . __('Your records') . '</h2>'; 
} 

if ($this->Auth->hasRole('admin') { 
    echo $this->Html->link(__('delete'), array('action' => 'delete')); 
}