保护 show() 方法免受用户访问其他用户消息的最佳方法

Question

好的，所以我有一个基本的消息系统，我已经建立了一个关系，所以我可以调用$user->messages 来检索一组用户收件箱消息。我还有一个非常简单的 show 方法，目前只抓取带有传递给 show() 函数的 id 的消息。

问题是保护该 messages/2 URL 的最佳方法是什么，这样用户就不能只在 URL 中键入任何数字并访问其他用户的消息。

我是否应该使用路由过滤器并基本上运行另一个查询以确保用户可以访问消息 ID，或者我可以对关系做些什么，也许检查消息数组的 ID，如果它存在则用户必须有访问权限？

public function up()
    {
        Schema::create('messages', function(Blueprint $table) {
            $table->increments('id');
            $table->mediumText('subject');
            $table->text('message');
            $table->boolean('draft');
            $table->integer('sender_id')->unsigned();
            $table->softDeletes();
            $table->timestamps();

            $table->foreign('sender_id')->references('id')->on('users')->onUpdate('cascade');
        });

        Schema::create('message_assets', function(Blueprint $table) {
            $table->increments('id');
            $table->integer('message_id')->unsigned();
            $table->string('filename', 255);
            $table->softDeletes();

            $table->foreign('message_id')->references('id')->on('messages')->onUpdate('cascade');
        });

        Schema::create('message_users', function(Blueprint $table) {
            $table->increments('id');
            $table->integer('message_id')->unsigned();
            $table->integer('user_id')->unsigned();
            $table->integer('read')->default(0);
            $table->string('folder', 255)->nullable();
            $table->softDeletes();

            $table->foreign('message_id')->references('id')->on('messages')->onUpdate('cascade');
            $table->foreign('user_id')->references('id')->on('users')->onUpdate('cascade');
        });
    }

Answer 1

在最简单的形式中，在您的 MessagesController 中的 show 方法中，您可以向查询添加一个附加参数并获取记录，其中 message_id = 来自 url 的参数，并且该消息上的 user_id 是经过身份验证的用户的 ID。 .. 做类似的事情

$message = App\Message::where('id', '=', $id)
                      ->where('user_id', '=', Auth::user()->id)
                      ->first();

如果您正在进行更高级的设计并拥有 MessageRepository，则可以在此处提取此逻辑，因此您可以在控制器中执行类似的操作

$this->repository->getById($id);

在消息存储库中，getById() 方法将使用 eloquent 模型执行与上述代码示例类似的操作。这种方法可以让控制器保持干净，并且如果需要，可以在应用程序的其他地方重新使用逻辑

添加到使用上面指定的数据透视表。这仅适用于收件箱中有消息的用户：

DB::table('messages')
    ->join('message_users', 'messages.id', '=', 'message_users.message_id')
    ->where('message_users.message_id', $id)
    ->where('message_users.user_id', $userId)
    ->where('message_users.deleted_at', null)
    ->select('messages.*')
    ->first();