PHP проверяет, что пользователь имеет доступ к контенту

Question

PHP проверяет, что пользователь имеет доступ к контенту

0

Я ACL плагин ACL для своей рамки/приложения.

Предыдущие приложения ACL, с которыми я работал, имеют проверку controller/action означающую, что он проверяет, имеет ли пользователь доступ как к контроллеру, так и к виду.

Теперь во многих приложениях user может иметь доступ как к controller и к view но все же не имеет доступа к контенту.

Например:

user1 имеет доступ к controller: игры и view: играть, но не иметь доступа к id: 1

Моя первая идея состояла в том, чтобы проверить переменную $_GET но этого недостаточно, так как невозможно узнать, какую переменную ищет контент.

Итак, мой вопрос: как вы проверите, что пользователь имеет доступ к содержимому представления?

Marc Rasmussen 04 фев. 2015, в 13:02

Источник

0

Почему у вас есть контроль доступа к представлению? Этот тип проверок должен полностью проходить в контроллере. (Пока мы говорим обычные MVC здесь.)
Boldewyn 04 фев. 2015, в 11:12
0

Не может быть ответа, кроме как в самых общих чертах. Очевидно, вы должны написать код, который знает, кто должен иметь возможность «просматривать» «виджет» с идентификатором «1», и вам нужно как-то вызывать его как часть обработки запроса.
Jon 04 фев. 2015, в 11:12
0

проверка происходит в контроллере, однако, если у вас есть таблица разрешений, пользователь может иметь доступ как к контроллеру, так и к представлению, но не к $ _GET ['id'] = 1
Marc Rasmussen 04 фев. 2015, в 11:13
0

@ Джон, я думаю, что это проблема, которая довольно часто возникает при написании ACL?
Marc Rasmussen 04 фев. 2015, в 11:14
0

@MarcRasmussen: Это полностью зависит от ваших требований. Довольно часто ИМО довольно близка к истине, но какая разница?
Jon 04 фев. 2015, в 11:18
0

@Jon Если у вас есть несколько пользователей, делающих контент, вы хотите убедиться, что другие пользователи не смогут получить доступ к этому контенту.
Marc Rasmussen 04 фев. 2015, в 11:18

Показать ещё 4 комментария

Теги:

php

security

acl

1 ответ

Ещё вопросы

Почему у вас есть контроль доступа к представлению? Этот тип проверок должен полностью проходить в контроллере. (Пока мы говорим обычные MVC здесь.)
Не может быть ответа, кроме как в самых общих чертах. Очевидно, вы должны написать код, который знает, кто должен иметь возможность «просматривать» «виджет» с идентификатором «1», и вам нужно как-то вызывать его как часть обработки запроса.
проверка происходит в контроллере, однако, если у вас есть таблица разрешений, пользователь может иметь доступ как к контроллеру, так и к представлению, но не к $ _GET ['id'] = 1
@ Джон, я думаю, что это проблема, которая довольно часто возникает при написании ACL?
@MarcRasmussen: Это полностью зависит от ваших требований. Довольно часто ИМО довольно близка к истине, но какая разница?
@Jon Если у вас есть несколько пользователей, делающих контент, вы хотите убедиться, что другие пользователи не смогут получить доступ к этому контенту.

jylipaa · Accepted Answer · 2015-02-04T09-56-00.000Z

Ну, вы знаете идентификатор содержимого в своем контроллере, и вы знаете, что пользователь пытается получить к нему доступ. Просто добавьте contentId в свою процедуру проверки ACL? Вам просто нужно добавить больше данных ACL, текущая реализация с помощью только контроллера и метода в этих случаях недостаточна.

например $acl-> userIsAllowedTo ('view', 1, 'gamescontroller') или так далее.

Это может сработать, однако не всегда переменная $ _GET называется id и могут быть несколько переменных $ _GET. Чем бы я отличался?
О, я вижу - имя переменной может измениться. Знаете ли вы возможные имена переменных Id, входящих в get? Если нет, то нет ничего другого, кроме как стандартизировать входные значения.
(С другой стороны, я не понимаю, как и почему имя переменной, в которую вы вводите идентификаторы контента, сильно изменилось бы)
это очень зависит от вида, и я хочу сделать его как можно более общим
Но ваши контроллеры должны знать идентификатор в любом случае, чтобы показать правильный контент. Поэтому вы можете хранить идентификатор в любом формате в вашем постоянстве ACL. Итак, передайте свой ACL в качестве параметра Controller и позвольте контроллеру запрашивать ACL. Не идеальное решение, так как тогда ваш контроллер должен знать, что делать в случае неудачной авторизации. Было бы лучше проверить ACL перед вызовом Controller.