laravelの基本チュートリアル -- 認可

認可

概要

laravel は、すぐに使える認可サービスを提供するだけでなく、認可ロジックとリソース アクセス制御を管理するための簡単な方法も多数提供します。これらのさまざまなメソッドとヘルパー関数により、承認ロジックの管理が容易になります。この章では、それらを 1 つずつ説明します。

機能の定義

ユーザーが特定のアクションを実行できるかどうかを判断する最も簡単な方法は、IlluminateAuthAccessGate クラスを使用して対応する機能を定義することです。これらの機能を定義するには、laravel によって提供される AuthServiceProvider クラスが推奨されます。現在のユーザーと投稿モデルを受け取る更新投稿機能を定義する例を見てみましょう。この機能では、ユーザーの ID が投稿の user_id と一致するかどうかを判断する必要があります。

<?phpnamespace App\Providers;use Illuminate\Contracts\Auth\Access\Gate as GateContract;use Illuminate\Foundation\Support\Providers\AuthServiceProvider as ServiceProvider;class AuthServiceProvider extends ServiceProvider{  /**   * Register any application authentication / authorization services.   *   * @param \Illuminate\Contracts\Auth\Access\Gate $gate   * @return void   */   public function boot(GateContract $gate)   {     $this->registerPolicies($gate);     $gate->define('update-post', function ($user, $post) {       return $user->id === $post->user_id;     });   }}

上記の例では、指定された $user が NULL かどうかをチェックしていないことに注意してください。これは、特定のユーザーが認証されていない場合、またはユーザーが forUser メソッドで指定されていない場合、Gate クラスはすべての機能に対して自動的に false を返すためです。

クラスベースの機能

機能を登録するための認可チェックのコールバックとしてクロージャーを使用することに加えて、クラスでメソッドを渡すことによって機能を登録することもできます。必要に応じて、クラスはサービス コンテナを通じて解決されます。

$gate->define('update-post', 'Class@method');

認可チェック インターセプタ

場合によっては、特別なユーザーに問い合わせる必要がある場合があります すべてのパスを発行します現時点では、before メソッドを使用して、すべての承認チェックの前に実行されるコールバックを定義できます。

$gate->before(function ($user, $ability) {  if ($user->isSuperAdmin()) {    return true;  }});

before コールバック関数が空ではない結果を返した場合、この結果は次のようになります。チェックの結果として使用されます。

after メソッドを使用して、各機能認可チェックの後に実行されるコールバック関数を定義することもできます。ただし、このコールバック関数内でチェックの結果を変更することはできません:

$gate->after(function ($user, $ability, $result, $arguments) {  //});

能力の確認

スルーゲートペルソナ

能力を定義したら、さまざまな方法で能力を確認できます。まず、Gate のチェック、許可、または拒否メソッドを使用できます。これらのメソッドはすべて、機能の名前を受け取り、追加のパラメーターを対応する機能のコールバック関数に渡します。現在のユーザーをこれらのメソッドに渡す必要はありません。Gate は自動的に現在のユーザーをパラメーターの先頭に追加し、それを機能コールバック関数に渡します。したがって、前に定義した update-post 機能を確認するときは、Post インスタンスを Deny メソッドに渡すだけです。

<?phpnamespace App\Http\Controllers;use Gate;use App\User;use App\Post;use App\Http\Controllers\Controller;class PostController extends Controller{  /**   * Update the given post.   *   * @param int $id   * @return Response   */   public function update($id)   {     $post = Post::findOrFail($id);     if (Gate::denies('update-post', $post)) {        abort(403);     }     // Update Post ...   }}

もちろん、アクションが渡された場合、authorized true を返します。 check メソッドは、allows メソッドのエイリアスです。

指定したユーザーの機能を確認する

ゲート マスクを使用して、現在許可されているユーザーではない他のユーザーが対応する機能を持っているかどうかを確認する場合は、次のコマンドを使用できます。 forUser メソッド:

if (Gate::forUser($user)->allows('update-post', $post)) {  //}

複数のパラメータを渡す

もちろん、アビリティ コールバック関数は複数のパラメータを受け取ることができます:

Gate:define('delete-comment', function ($user, $post, $comment) {  // });

Ifアビリティが複数のパラメータを受け取る必要がある場合は、Gate メソッドを通じて複数のパラメータで構成される配列を渡すだけです:

if (Gate::allows('delete-comment', [$post, $comment])) {  //}

ユーザー モデルを通じてアビリティを確認します

実際には、次のことができます。 User モデルのインスタンスを通じてユーザーの機能をチェックします。デフォルトのlaravel AppUserモデルは、canとcantの2つのメソッドを含むAuthorizableトレイトを使用します。これら 2 つのメソッドは、ゲート マスクの許可メソッドと拒否メソッドと同じ方法で使用されます。また、上で使用した例を次のように変更して使用します:

<?phpnamespace App\Http\Controllers;use App\Post;use Illuminate\Http\Request;use App\Http\Controllers\Controller;class PostController extends Controller{  /**   * Update the given post.   *   * @param \Illuminate\Http\Request $request   * @param int $id   * @return Response   */   public function update(Request $request, $id)   {     $post = Post::findOrFail($id);     if ($request->user()->cannot('update-post', $post)) {       abort(403);     }     // Update Post...   }}

もちろん、can メソッドは can メソッドの逆です:

if ($request->user()->can('update-post', $post)) {  // Update Post...}

Blade テンプレートの機能の確認

便宜上、laravel は現在許可されているユーザーが指定された機能を持っているかどうかを迅速に確認するための @can Blade コマンドを提供します。例:

<a href="/post/{{ $post->id }}">View Post</a>@can('update-post', $post)  <a href="/post/{{ $post->id }}/edit">Edit Post</a>@endcan

@else コマンドを使用して @can コマンドと一致させることもできます:

@can('update-post', $post)  <!-- The Current User Can Update The Post -->@else  <!-- The Current User Can't Update The Post -->@endcan

フォームリクエストの機能を確認してください

また、フォーム リクエストのカスタム authoriza メソッド (フォーム検証に使用されるリクエスト クラスである Request から継承) を使用して、Gate で定義されている機能を検証します。

/** * Determine if the user is authorized to make this request. * * @return bool */ public function authorize() {   $postId = $this->route('post');   return Cate::allows('update', Post::findOrFail($postId)); }

ポリシー (ポリシー)

ポリシー

を作成します。これは、すべての認可ロジックを AuthServiceProvider に組み込み、アプリケーションが大きくて扱いにくいアプリケーションに成長するのを防ぐためです。 Laravel では、Policy クラスを通じて認可ロジックを分離できます。ポリシー クラスは実際には、認可論理グループを含むネイティブ PHP クラスです。

まず、投稿の承認を管理するポリシーを生成しましょう。 make:policy コマンドを使用してポリシーを生成できます。生成されたポリシーは app/Policies ディレクトリに保存されます:

php artisan make:policy PostPolicy

ポリシーの登録

ポリシーが存在したら、ゲートに登録する必要もあります。クラス。 AuthServiceProvider には、すべてのエンティティとポリシー間のマッピングを保存するポリシー属性が含まれています。したがって、Post モデルのポリシーを PostPolice クラスに割り当てる必要があります:

<?phpnamespace App\Providers;use App\Post;use App\Policies\PostPolicy;use Illuminate\Foundation\Support\Providers\AuthServiceProvider as ServiceProvider;class AuthServiceProvider extends ServiceProvider{  /**   * The policy mappings for the application.   *   * @var array   */   protected $policies = [     Post::class => PostPolicy::class,   ];   /**    * Register any application authentication / authorization services.    *     * @param \Illuminate\Contracts\Auth\Access\Gate $gate    * @return void    */    public function boot(GateContract $gate)    {      $this->registerPolicies($gate);     }}

编写策略

一旦策略被生成和注册后，我们就可以为所有能力的授权添加验证方法。例如，让我们在 PostPolicy 类中定义一个 update 方法，用来验证所给定的用户是否具有 update Post 的能力：

<?phpnamespace App\Policies;use App\Uesr;use App\Post;class PostPolicy{  /**   * Determine if the given post can be updated by the user.   *   * @param \App\User $user   * @param \App\Post $post   * @return bool   */   public function update(User $user, Post $post)   {     return $user->id === $post->user_id;   }}

你可以继续在策略中添加其他所需进行授权验证的方法。比如，你可以继续为验证 Post 的各种动作而定义 show，destroy，或者 addComment 方法。

注意：所有的策略类都是通过服务容器解析而来。这意味着你可以使用类型提示来在策略类的构造函数中进行依赖注入所需要的依赖。

拦截所有检查

有时候，你可能需要发放给指定用户具有所有能力的通行证，这时候，你可以在策略类中定义 before 方法。该方法会在策略中其他所有方法被执行前运行：

public function before($user, $ability){  if ($user->isSuperAdmin()) {    return true;  }}

如果 before 方法返回一个非空值，那么其结果将会用来作为授权验证的结果的判断依据。

检查策略

策略类的方法和基于授权回调的方法一样通过相同的方式作为 Closure 被调用。你可以使用 Gate 假面，User 模型，@can Blade 指令或者 policy helper 来进行授权的检查。

通过 Gate 假面

Gate 会通过检查传递给方法中参数的类型来确定应该使用哪一种策略。所以，如果我们传递 Post 实例到 denies 方法，Gate 将会自动的使用相对应的 PostPolicy 来进行授权验证：

<?phpnamespace App\Http\Controllers;use Gate;use App\User;use App\Post;use App\Http\Controllers\Controller;class PostController extends Controller{  /**   * Update the given post.   *    * @param int $id   * @return Response   */   public function update($id)   {     $post = Post::findOrFail($id);     if (Gate::denies('update', $post)) {       abort(403);     }     // Update Post...   }}

通过用户的模型

User 模型中的 can 和 cannot 方法也会在所给定参数可用时自动匹配相应的策略。这些方法提供了一种便利的方式去验证任意用户实例是否具有所给定的能力:

if ($user->can('update', $post)) {  //}if ($user->cannot('update', $post)) {  //}

通过 Blade 模板

就像我们所期望的，@can Blade 指令会在所给定参数可用时自动匹配相应的策略：

@can('update', $post)  <!-- The Current User Can update The Post -->@endcan

通过策略 Helper

全局帮助方法 policy 可以通过所给定的类解析相应的 Policy 类。例如，我们可以传递一个 Post 实例到 policy 帮助方法，该方法会返回相应的 PostPolicy 类：

if (policy($post)->update($user, $post)) {  //}

控制器授权

默认的，在 laravel 中基于 Ap\Http\Controllers\Controller 的类都引入了 AuthorizesRequests trait（性状）。该性状提供了 authorize 方法来快速的验证所给定的动作是否有执行的能力，如果不具备相应的能力会抛出一个 HttpException 。

authorize 方法共享了其它授权方法的签证方式，如 Gate::allows 和 $user->can()。那么，让我们来使用 authorize 方法快速的鉴别一个请求是否具有更新 Post 的能力：

<?phpnamespace App\Http\Controllers;use App\Post;use App\Http\Controllers\Controller;class PostController extends Controller{  /**   * Update the given post.   *   * @param int $id   * @return Response   */   public function update($id)   {     $post = Post::findOrFail($id);     $this->authorize('update', $post);     // Update Post...   }}

如果这个动作通过了授权，控制器将继续执行下面的逻辑。否则会自动的抛出一个 HttpException 错误，这个错误会生成一个 403 Not Authorized 的 Http 响应。就如你所看到的， authorize 方法是一个非常方便的方法，它的方便之处就在于只使用一条语句执行了授权的验证或抛出异常。

AuthorizeRequests trait 也提供了 authorizeForUser 方法来进行非当前用户的用户与给定能力的鉴权：

$this->authorizeForUser($user, 'update', $post);

自动的确定策略方法

通常的，策略类中的方法是与控制器中的方法相对应的。比如在上面的 update 方法中，控制器的方法和策略的方法使用了相同的命名： update。

由于这个原因，laravel 允许你通过简单的传递一个实例参数到 authorize 方法，在能力的鉴定中，laravel 会根据当前方法的命名自动的确定策略方法的调用。在上面的例子中，由于 authorize 方法是在控制器中的 update 方法中调用的，所以 PostPolicy 中的 update 将会被调用：

/** * Update the given post. *  * @param int $id * @return Response */ public function update($id) {   $post = Post::findOrFail($id);   $this->authorize($post);   // Update Post... }