CakePHP 2.x ACL - 所有者级别的控制

Question

我可以使用ACL 控制我的应用程序，一切都完美无缺，应用程序使用ACL 和Auth 运行顺畅。

现在的问题是：

我有两张桌子，users 和 posts。没有RBAC（基于角色的访问控制）。 我正在为每个用户设置deny 和allow，如下所示。

//allow User1 to do everything
$user->id=1;
$this->ACL->allow($user,'controllers');

//allow User2 to add, edit and view the posts 
$user->id=2;
$this->Acl->deny($user, 'controllers');
$this->Acl->allow($user, 'controllers/Posts');

但我遇到了一个问题：

user2 正在访问edit 的posts user1。

示例：

User1 创建了一个post1。

现在User2 登录现在他可以编辑User1 的帖子（即post1- /localhost/myApp/posts/edit/1）

问题：这个问题如何设置ACL权限，帖子的所有者只能编辑帖子，其他人不能。

我可以在控制器级别实现这一点，只需检查

if($_SESSION['Auth']['User']['id'] == $Post['Post']['user_id']){
    // you're the owner, so u can edit
}else{
    //u cant edit, this is not ur post
}

但我需要ACL 才能在这里工作，可以吗？请帮忙

谢谢

Answer 1

我会这样做

首先告诉 Cake Post 模型是 ACO

 // Post.php model file
 $actsAs = array('Acl' => array('type' => 'controlled'));

这样每次你创建一个新的蛋糕后都会自动在acos表中创建一个项目。

注意：您必须手动为之前创建的帖子创建节点，这样：

// for every Post in your posts table

$this->Acl->Aco->create(array('alias' => 'Post', 'id' => 123));
$this->Acl->Aco->save();

那么你必须在你的 Post Model 文件中定义一个parentNode() 函数

// Post.php model file
public function parentNode() {
    return null;
}

现在 ACL 身份验证处理程序仅在操作级别检查表单权限。换句话说，它只是检查您是否被允许访问该操作。然后它要求isAuthorized() 函数在控制器级别进行其他检查。

所以首先你必须为每个节点设置权限

$this->Acl->allow($user, 'controllers/Posts/edit/123')

然后在你的控制器中你必须这样做

 // PostsController.php 
 public function isAuthorized($user = null) {

    if ($this->request->action === 'edit') {
        $user = // retrieve the user array. i.e. from Session
        $post_id = $this->request->$this->request->pass[0];
        $post = array('alias' => 'Post', 'id' => $post_id );
        return this->Acl->check($user, $post);
    }
    return parent::isAuthorized($user);
}

你也可以实现 parentNode() 函数来返回 Post 的所有者而不是 null

// Post.php model file

// just an hint, the actual code should be 
// a bit more complex
public function parentNode() {
    $user_id = $this->field('user_id');
    return array('User' => array('id' => $user_id));
}

这种方式不必为每个帖子设置权限，因为 cake 会检查用户是否有权访问帖子的父节点（谁也是用户）。所以你只需要为每个用户设置权限

$this->Acl->allow($user, $user);

如果您遵循此方法，请记住也将用户设置为 ACO

// User.php Model file

$actsAs = array('Acl' => array('type' => 'both'));

我没有测试上面的代码，所以我猜也有很多错别字和错误。如果我有时间，我会在接下来的几天里做一些测试并改进我的答案