在哪里使用域对象和数据映射器实现 Zend_ACL？

Question

阅读了 Matthew Weier O'Phinney 的许多关于在模型中实施 ACL 的文章后，我一直专注于执行此操作的最佳方法。但是，在进一步研究领域对象的最佳实践后，我了解到这些模型不应包含对数据映射器或任何 CRUD 操作的任何引用。

以 ERM 软件为例，该软件根据销售和采购订单维护库存并处理进出公司的货物。我想有几个域...

• 公司
• 发货
• 订购
• 产品
• 组装
• 还有其他一些人

由于公司可以有不同的类型（例如制造商、供应商、零售商），因此此信息存储在我的数据库中的许多表中（例如公司、类型、公司类型）。因此，我的公司域有一个数据映射器，它使用每个数据库表的 Zend_Db_Table 实例的对象。

在我的控制器操作中，我知道应该很少有逻辑。例如，创建一个新公司可能会像这样......

public function createAction()
{
  // Receive JSON request from front end
  $data = Zend_Json::decode($request);
  $companyObj = new App_Model_Company();
  $companyObj->populate($data);
  $companyMapper = new App_Model_DataMapper_Company();
  $companyMapper->save($companyObj);
}

考虑到这一点，我觉得最好将我的 ACL 检查合并到 DataMapper 中，并将验证合并到域对象中。 My Domain 对象都扩展了一个基本抽象类，它重载了 PHP 的神奇 __set 和 __get 方法。在每个域对象的构造函数中，我通过使用键填充 $_properties 数组来定义对象的属性。这样，我的 __set 方法看起来像......

public function __set($property, $value)
{

    $className = __CLASS__;
    if(!array_key_exists($property, $this->_properties))
    {
        throw new Zend_Exception("Class [ $className ] has no property [ $property ]");
    }

    // @return Zend_Form
    $validator = $this->getValidator();

    /*
     * Validate provided $value against Zend_Form element $property
     */

    $this->properties[$property] = $value;
    }
}

我所有的数据映射器的save() 方法类型提示App_Model_DomainObjectAbstract $obj。

问题 #1 - 由于我的数据映射器将处理所有 CRUD 操作，并且域对象实际上应该只包含特定于该域的属性，我觉得 ACL 检查属于数据映射器 - 这可以接受吗？

我试图避免在我的控制器中实例化数据映射器，但现在我认为我对这种设计模式有了更好的理解，这似乎是不合理的。

问题 #2 - 我是否过于复杂了这个过程，我是否应该编写一个扩展 Zend_Controller_Plugin_Abstract 并根据 preDispatch() 方法中的传入请求处理 ACL 的 ACL 插件？ p>

非常感谢您的宝贵时间！

Answer 1

大家一致认为here (carefully read the answer of @teresko)ACLs 最适合装饰器模式（一种安全容器）。

如果您的ACL 的权限定义存储在数据库中，那么您必须有一个DataMapper 来映射您数据库上的acl 定义和您的Zend_Acl 对象及其resources 的实际实现， roles 和 privileges。

由于 ZF，您可能不会使用控制器装饰器来实现 1 性质（很多反模式、全局状态等）。相反，您将使用横切关注点 为您检查它的插件（preDispatch）。所以你的 ACL 必须是一个 初始化的第一个对象。

考虑到您的 ACL 定义基于 controller 和 action 名称，您的插件将调用您的 AclMapper 以获取填充的 ACL 对象，然后检查是否允许当前用户访问给定的资源。

查看此示例代码：

class Admin_Plugin_AccessCheck extends Zend_Controller_Plugin_Abstract 
{
    public function preDispatch(Zend_Controller_Request_Abstract $request)
    {
        if($request->getModuleName() != 'admin')
        {
            return;
        }


        $auth = Zend_Auth::getInstance();
        $action = null;

        if(!$auth->hasIdentity())
        {
           $action = 'login'; 
        }
        else
        {
            /**
             * Note that this is not a good practice (singletons). 
             * But in this case it's avoiding re-loading the Acl from database
             *  every time you need it. Also, considering that ZF 1 is full of 
             * singletons, it'll not hurt, I think ;)
             * YOU CAN CHANGE THIS LINE TO $aclMapper->getAcl();
             */

            $acl = Acl::getInstance();

            $resource = $request->getModuleName() . ':' . $request->getControllerName();
            $privilege = $request->getActionName();

            $identity = $auth->getStorage()->read();
            $role = $identity->role_id;

            if($acl->has($resource))
            {
                if(!$acl->isAllowed($role,$resource,$privilege))
                {
                    $action = 'access-denied';
                }
            }
        }

        if($action)
        {
            $request->setControllerName('authentication')
                    ->setActionName($action)
                    ->setModuleName('admin');
        }
    }
}

Answer 2

@问题 #1： 不，ACL 不属于您的映射器。牢记关注点分离。如果您决定将 ACL 建立在基于每个对象的基础上，那么上面链接的装饰器方法就是您要走的路。但是，装饰器可以很好地围绕映射器实现。 考虑 ZF1 提供的这个 acl 结构： 资源：您的域实体，例如类名 角色：用户角色 特权：C-R-U-D

<?php
class SecurityContainer {
    /**@var Zend_Acl*/
    protected $acl;

    /**@var DataMapper */
    protected $mapper;

    /**@var User|rolename*/
    protected $user;

    public function __construct($acl, $mapper, $user) {
        $this->acl = $acl;
        $this->mapper = $mapper;
        $this->user = $user;
    }

    public function __call($method, $entity) {
        if (method_exists($this->mapper, $method) {
            if ($this->acl->isAllowed($user, get_class($entity), $method) {
                $this->mapper->$method($entity);
        }
    }
}

这导致问题 2： 这实际上取决于您如何设计应用程序界面。如果每个实体类型的每个 CRUD 操作都有一个操作，那么您可以简单地通过一个 FrontController-Plugin 来实现您的 acl，正如 ZF1 的许多和更多教程向您展示的那样。如果您需要更细粒度的 ACL，例如角色 GUEST 可能会更新公司名称，但经理可能会更新整个实体，或者如果您有更改多个实体的操作，则基于实体的方法是更好的一个海事组织。

关于您概述的设计的其他一些想法： 我认为让实体验证自己不是一个好主意。尝试实现一个由具体验证器验证类型的解决方案。你甚至可以再次使用装饰器；）这仍然是一个更清洁的解决方案。

您不应该在控制器操作中使用映射器是有原因的。一是做与数据库分离的验收测试变得更加困难（不过取决于您的实现）。你指出了另一个：让你的动作尽可能短。使用 ACL 和验证器，您的操作将变得更大。考虑按照另一个问题中所述的@teresko 实施服务层。如果您需要，这对于基于属性的 ACL 也很有帮助。

希望对你有所帮助。