CakePHP Auth 组件 - isAuthorized() 函数问题

Question

我的学生控制器中有以下 isAuthorized() 函数：

function isAuthorized() {
    $studentId = $this->Auth->user('id');
    $studentEmail = $this->Auth->user('email');
    if ($this->Auth->user('active') == 1 && $this->Auth->user('level_complete') != 1) {
        $this->Auth->loginRedirect = '/classrooms/view';
        return true;
    } elseif (!$this->Student->hasPayed($studentId)) {
        $this->Session->write('Payment.student_id', $studentId);
        $this->Session->write('Payment.student_email', $studentEmail);
        $this->Session->write('Payment.examScore', $this->Student->getPlacementScore($studentId));
        $this->Auth->logout();
        $this->redirect(array('controller'=>'payments', 'action'=>'pay'));  
    } elseif ($this->Auth->user('level_complete') == 1) {
        $this->Session->write('Payment.student_id', $studentId);
        $this->Session->write('Payment.student_email', $studentEmail);
        $this->Auth->logout();
        $this->redirect(array('controller' => 'payments', 'action' => 'repay'));
    } else {
        $this->Auth->logout();
        $this->redirect(array('controller' => 'students', 'action' => 'disabled'));
    }


    return false;
}

这个方法基本上涵盖了四种可能的状态：

1. 用户处于活动状态且尚未完成关卡 = 已授权
2. 用户尚未付款 = 未授权
3. 用户已完成一个关卡，必须再次付费 = 未授权
4. 用户帐户未激活

我遇到的问题是我的标题中有一个登录表单，我可以从任何控制器登录。如果我从除 Student Controller 以外的其他控制器登录，则不会调用 isAuthorized() 方法，即使用户无法登录，也可以登录。

有什么想法吗？

---

编辑：在检查 API 对 isAuthorized() 方法的定义后，我认为该方法仅在学生控制器的操作被请求时才被调用。那我还能在哪里实现这个逻辑呢？谢谢

Answer 1

你把事情搞砸了。 isAuthorized() 方法仅在用户登录时调用。

这意味着 cake 将逻辑分为两部分：

1) 用户必须登录才能看到访问操作是由 $this->Auth->allow() 方法控制的（在控制器的 beforeFilter 内）。这告诉 cake 用户是否必须登录才能看到操作。

2) 用户必须通过 isAuthorized() 方法。仅当 $this->Auth->authorize 设置为“控制器”时。

因此，如果您希望用户必须登录才能从控制器 C 访问操作“X”，则必须在您的 C 控制器中输入以下代码：

function beforeFilter(){
    $this->Auth->authorize = 'controller';
    $this->Auth->allow('*');
}

之后，如果您想对此进行更多控制（例如，如果用户角色是“admin”），那么您必须在您的 isAuthorized() 方法中执行此操作。

希望对你有帮助。

Answer 2

我通常将这样的逻辑放在我的 Auth 控制器（即 UsersController）的 login() 方法中。

但是，我不认为您对isAuthorized() 的理解是错误的。不幸的是，我确实认为连接起来更困难。

例如：

• 如 santiagobasulto 所述，您需要确保已配置 Auth->authorize = 'controller'。
• 如果您使用 any beforeFilters()，请确保您拨打的是 parent::beforeFilter()。您可能在某个关键区域忘记了这一点，这使 Cake 无法在其他登录操作中访问您的功能。