如何将数据限制为拥有它的用户而不限制 CakePHP 中的管理员用户？

Question

目前我正在编写一个有多个用户的应用程序。他们的数据应该只对他们可见，而不是系统中其他经过身份验证的用户可见。我还有管理系统并有权访问所有信息的管理员。在不限制管理员用户的情况下限制用户访问其数据的最佳方法是什么？

目前我正在使用回调来限制用户的查询，但管理员将获得相同的限制。所以我需要知道一个更好的方法来做到这一点。更重要的是，正确的方法。

例如，我希望标准用户只能看到他们的用户信息，并且仅限于对他们的信息进行 CRUD 操作。但是，管理员应该能够看到所有用户和 CRUD ALL 用户数据。有什么想法吗？

Answer 1

你需要：

• 有关当前用户的信息
• 有关商品的信息

你将它们与这样的东西结合起来（简单的例子）：

$user = $this->Auth->user();
$book = $this->Book->find(…);
if ($user['type'] != 'admin' && $user['id'] != $book['Book']['creator_id']) {
    $this->Session->setFlash("You're not allowed to view this item");
    $this->redirect('somewhere');
}

你可以在你的模型中创建一个方法

function userCanAccessItem($item, $user)

集中访问检查的逻辑并从您的控制器调用它。

更好的是，如果您使用的是 Cake 的 admin routing，您可以省略所有在 admin_ 操作中的检查，而只在用户可访问的操作中应用普通用户访问权限检查。

您可能还想查看ACLs 以获得更细粒度的访问控制。

Answer 2

您可以获取当前用户信息this way:$this->Auth->user()。您可以在回调中使用用户组 ID 来限制查询。也可以在WhoDidIt Behavior 进行战利品。

Answer 3

对于任何来到这里的其他人，这就是我的设置方式。

首先我设置了一个basic Role based ACL

然后我拒绝普通用户访问reports/all

$config['rules']['deny'][reports/all'] = 'Role/default' ;

然后在我想保护的模型中添加了这个：

public function beforeFind($queryData){
    //TODO:make this cleaner
    App::uses('ComponentCollection', 'Controller');
    App::uses('AclComponent', 'Controller/Component');
    $collection = new ComponentCollection();
    $this->Acl = new AclComponent($collection);     

    if(!$this->Acl->check(array('User'=>AuthComponent::user()),'/reports/all/')){  // must be a user (not admin)
        $this->bindModel(array('hasOne' => array('ReportsUser')));
        $queryData['conditions']['ReportsUser.user_id'] = AuthComponent::user('id');
        $queryData['recursive'] = 2;
    }
    return $queryData;
}

在 ACL 不允许访问 reports/all 的情况下，我们会向任何查找查询添加一个条件，以便它只显示具有正确 user_id 的报告。