CakePHP：检查视图中的授权

Question

我在我的项目中使用 CakePHP，我正在寻找一种正确的方法来检查我的视图中的高级用户权限。

我有几个页面，其中的内容取决于您的权限（您可以查看或不查看某些块，编辑或不编辑某些信息等...）

我搜索并发现唯一的方法是实现一个 Auth Helper，但我认为最好的方法是在我的“UserController”中实现方法（例如 canPerformAction($action, $controller = 'default_controller' ））， 我错了吗 ？如果我是对的，如何正确调用这些方法？

谢谢。

编辑：更精确

例如，我有一个操作“editEventProducts”，用户只有在他是事件所有者并且事件状态为

我在我的控制器“isAuthorized”函数中检查了它的工作原理。

但我有一个名为“eventDetails”的页面，您可以在该表单中执行多个操作，例如这个，我想显示编辑按钮，前提是您可以做到。

如果事实上我需要的是您可以调用的每个操作的“isAuthorized”函数的输出，但我可以从视图中正确获取它吗？

解决方案

我实现了一个 Auth 助手，它进行了几次检查，例如这个，最后是一个白名单检查，取决于我的事件的状态，希望它会有所帮助，代码：

App::uses('AppHelper', 'View/Helper');

class AuthHelper extends AppHelper {

var $helpers = array('Session');

private $_whitelist = array(
    'controller1' => array(
        'events' => array(
            'action1'     => array(1 => true, 2 => true),
            'action2'     => array(1 => true, 2 => true),
            'action3'     => array(3 => true),
            'action4'     => array(6 => true)
        )
    ),
    'user'  => array(
        'controller1' => array(
            'action1'     => array(1 => true, 2 => true),
            'action2'     => array(1 => true, 2 => true)
        )
    )
);

public function canPerformAction ($action, $event_infos, $controller = 'events') {
    return isset($this->_whitelist[$this->Session->read('Auth.User.role')][$controller][$action][$event_infos['Event']['state_id']]);
}
}

Answer 1

您可以使用视图调用控制器的功能

requestAction(string $url, array $options) 

或者您可以创建您的自定义 Helper 来为您执行此操作！

Answer 2

您需要的是授权，它是授予/拒绝操作的过程，通常建立在身份验证步骤之上，它将HTTP请求映射到逻辑用户。

授权方案可以通过多种方式实现，例如使用简单的基于角色的规则，其中用户被精确分组以分配权限，或者使用更复杂的 ACL（访问控制列表）。两者都可以同时用于系统的不同部分，具体取决于您的需要。

无论您选择哪种方案，您绝对需要在控制器操作开始时对其进行查询（如果适用，您可以在 AppController 中使用标准化的授权过滤器），因为 HTTP 请求不需要来自先前发送的 HTTP 页面，但可能是（可能）恶意的、手工制作的页面。此外，您可能需要在用户权限之后调整 UI。也许您最好从一堆if 语句开始，然后经过几天的工作，您将能够确定您的需求并构建您的库/帮助程序/块/任何东西以避免代码重复和轻松阅读模板.

Answer 3

如果您有预定义的用户权限（例如“admin”、“moderator”、“editor”、“publisher”...），您可以在控制器函数 isAuthorized 中读取用户角色和当前操作并将其设置为 true或假的。

如果您想要每个用户的自定义权限，您可以将这些值存储在数据库中，在 isAuthorized 函数中读取它们并制定您的逻辑来确定您是否应该允许他。

我对此的解决方案是一个单独的表 user_permissions，它是这样的：

user_id | action

action 可以是 `controller/action' 或 'view/block' 或任何你想保存在那里的东西。

我会读取控制器中当前用户的所有值，如果在数组中找到当前控制器/动作，我会将 isAuthorized 设置为 true。你也可以将你的逻辑应用到块中。

Answer 4

在我看来，您只是想根据用户的权限渲染视图的某些部分。好吧，在这种情况下，我认为助手是正确的选择。用户应该已经拥有他加载的所有权限 - 除了它们非常细粒度并且您拥有数千个权限。

检查这个AuthHelper，它允许你检查用户是否登录，在一个字段中的一个角色或一组角色。或者实施您自己的解决方案以匹配您的权限系统。

请注意，帮助程序依赖于将用户数据传递给视图变量中的视图。它也可以配置为直接从会话的 auth 部分读取数据。

这是取自 documentation 的示例：

if ($this->Auth->isLoggedIn()) {
    echo __('Hello %s!', $this->Auth->user('username'));
}

if ($this->Auth->isMe($record['Record']['user_id']) {
    // or your edit button here
    echo '<h2>' . __('Your records') . '</h2>';
}

if ($this->Auth->hasRole('admin') {
    echo $this->Html->link(__('delete'), array('action' => 'delete'));
}