Laravel: Definiowanie uprawnień

5.8.x

0:00Nasz serwis już działa coraz sprawniej, natomiast mamy jeszcze jedną bardzo ważną lukę

0:04bezpieczeństwa. Otóż każdy może dodawać u nas wpisy oraz je

0:08usuwać. Wystarczy, że jest zalogowany, dlatego będziemy chcieli

0:12teraz to zmienić, w zasadzie nawet nie musiałby być zalogowany

0:16bo nie korzystaliśmy z żadnego middleware, ale wtedy mu formularza poprawnie nie wyświetlimy. Niemniej

0:21jednak chciałbym zrobić tak żeby jeden użytkowników był adminem i jeżeli jest

0:25adminem to wtedy może dodawać te wpisy. Pokażę ci teraz jak możemy to zrobić, po

0:31pierwsze będziemy chcieli zdefiniować kto jest administratorem i teraz to można zrobić na

0:35wiele sposobów, mniej lub zaawansowanych na przykład może mieć specjalną tabelę

0:39w bazie danych, która listuje kto ma jaką rolę. Natomiast my to zrobimy w

0:43uproszczony sposób gdzie użytkownik identyfikatorem 1 po

0:47prostu jest administratorem. Zazwyczaj jeżeli tworzysz stronę to ty będziesz tym pierwszym użytkownikiem i

0:51do prostych przykładów to w zupełności powinno wystarczyć dlatego przejdziemy

0:56sobie do user naszego modelu i to jest nasz model więc

1:00możemy tutaj dodawać co chcemy. Dlatego ja chciałbym dodać metodę publiczną

1:05którą nazwiemy isAdmin, więc ona na każdym użytkowniku będzie dostępna i ona

1:09będziesz zwracać true jeżeli i zróbmy

1:13to w ten sposób this id, czyli id tego użytkownika równa

1:17się 1, to oznacza że jest to admin w przeciwnym wypadku ten użytkownik

1:21adminem nie będzie, więc naszym przypadku jeżeli przejdziemy do users mamy

1:26tutaj takiego który ma 3 i 5, więc żaden z nich, można

1:30powiedzieć, nie będzie adminem, ale to wynika tylko z tego że usuwaliśmy użytkowników,

1:34dodawaliśmy. W zasadzie ja to robiłem tutaj w tle, więc

1:39będziemy musieli wykonać sobie świeże migracje i wtedy te id będą od

1:43nowa tutaj nadawane. Kiedy już wiemy jak określić czy użytkownik jest adminem

1:47czy nie to dodamy sobie coś to nazywa się Gate i teraz

1:52musimy przejść do pliku który się nazywa AuthServiceProvider on ma tutaj taką

1:56metodę boot. W dokumentacji laravel znajdziesz że czasami są takie przypadki

2:00że się tutaj właśnie coś dodaje i mamy coś takiego jak Gate to

2:05powinno być tutaj zaimportowane u góry, jest i możemy taką bramę zdefiniować

2:09za pomocą define, możemy ją nazwać chcemy więc ja chcę ją nazwać

2:14manage-posts. Później będziemy pytać czy użytkownik can

2:18manage posts. Dlatego chcę to nazwać w ten sposób. To będzie funkcja,

2:22która otrzyma user, czyli użytkownika i z niej zwracamy co

2:27chcemy. Jeśli zwrócimy true, dany użytkownik może zarządzać postami jeżeli zwrócimy

2:31false to nie może. Co ważne i my tego nie będziemy robić, ale chciałbym żebyś był tego świadom,

2:35możesz również zdefiniować te bramy w taki sposób czy użytkownik może

2:39danym postem zarządzać, wtedy będziesz miał przekazanego i użytkownika i wpis i możesz

2:44sprawdzić czy wpis należy do danego użytkownika. To bardzo ważne, bo wtedy taki

2:48użytkownik mógł edytować tylko swoje wpisy, a nie cuda u nas jeżeli manage-posts

2:53będzie zwracać true wszystkie wpisy może edytować. Więc stąd chcemy

2:57zwrócić true lub false, mając już user'a zwrócimy to co przed

3:01chwilką na nim dodaliśmy czyli isAdmin. Dzięki temu jeżeli w przyszłości zmienimy

3:05logikę isAdmin na jakąś bardziej zaawansowaną, tutaj nie będziemy musieli nic zmieniać

3:09i teraz co okazuje. W momencie kiedy zdefiniujemy taki Gate

3:13to możemy korzystać z middleware, czyli takiej funkcji pośredniczącej, a z middleware można

3:18korzystać na wiele sposobów, przyjdziemy sobie do PostController, tutaj

3:22w Admin i następnie przejdziemy do samej góry, będę chciał dodać tutaj

3:26konstruktor, którego nie mieliśmy i w

3:33konstruktorze możemy korzystać z middleware za pomocą this, middleware. Skorzystałem po

3:39pierwsze z auth, to będzie oznaczało tyle że żaden z tych kontrolerów nie

3:44może być wykonan. Żadna z tych akcji jeżeli użytkownik nie jest zalogowany, wcześniej nie zrobiliśmy, więc

3:48nawet nie zalogowani, gdyby wysłali odpowiednie zapytanie mogliby

3:52dodać wpisy. Oczywiście im by się formularze nie wyświetliły, bo o to

3:56zadbaliśmy widokach, ale to nie jest wymówka zawsze musimy na poziomie kontrolera

4:01dbać o to, żeby czegoś się nie dało zrobić. To jest pierwszy middleware i i one

4:05są sprawdzane w takiej kolejności jak tutaj dodamy, ale drugie middleware to

4:11jest middleware can i jemu można przekazać parametr. Ten parametr jest o tyle dynamiczny.

4:15No właśnie że jeżeli tutaj zdefiniujemy jakąś nazwę to potem możemy ją przekazać tutaj

4:20czyli tak to będzie wyglądać, jeżeli dany użytkownik nie

4:24może dodawać wpisów bo nie jest adminem to nie będzie mógł skorzystać z żadnej metod

4:29które tutaj są. Otrzyma status 403 forbidden, po prostu. Zatem sprawdźmy,

4:34przejdziemy teraz do create i o ile to się wyświetli, chociaż zasadzie nie, nawet się

4:38nie wyświetli. Zauważ, że my to wyświetlaliśmy, no właśnie, za pomocą metody show

4:43która gdzieś tutaj jest czy metody create, dokładnie

4:48czyli return admin.post.create, więc ta metoda również

4:52jest chroniona, oczywiście moglibyśmy tutaj zrobić na chwilę except create, czyli

4:57wszystko chroń poza tą metodą, wtedy by się nam to wyświetliło, ale już wysłać by się nie

5:01otrzymalibyśmy 403, więc w ten sposób możemy zabezpieczyć cały

5:05nasz Controller przed tym żeby ktoś kto jest

5:10adminem nie mógł w tutaj wykonać żadnych akcji. Innym sposobem

5:14jest użycie autorise i i pokażę ci to na sekundę, może w danym

5:18kontrolerze, w danej w zasadzie metodzie kontrolera, coś takiego wywołać więc

5:22jak tutaj mieliśmy tą metodę create, to na jej początku

5:26można zrobić this autorise, tutaj

5:31możemy podać nazwę manage-posts, bo tak to nazwaliśmy. Wtedy

5:35ta konkretna metoda będzie w ten sposób autoryzowana i znowu zobacz nie

5:39da się do niej przejść, więc można to robić na właśnie takim poziomie, bo powiedzmy,

5:44że tutaj będziemy mieli przekazane. Do tej metody akurat nie, ale gdybyśmy parametru url

5:49tak jak przy edit, mieli zczytywany post, to wtedy moglibyśmy w takim

5:53post'cie zrobić autorise przekazać tam również ten post, tak jak wspomniałem na początku

5:57tej lekcji i wtedy tutaj można to podać jako drugi parametr i sprawdzić

6:02czy admin, czy w zasadzie ten użytkownik może dany post w ogóle

6:06edytować. U nas takiej koncepcji nie ma, ale warto wiedzieć, że authorise również istnieje. U nas

6:10wystarczy czy ktoś może zarządzać post'ami, a to już zdefiniowaliśmy, musi

6:14być po prostu adminem. Na koniec jeszcze ci pokażę jedną

6:18rzecz, bo można na bardzo wiele sposobów przypisywać middleware. Przejdziemy do web

6:22i można middleware przepisywać na przykład tak, przy danej ścieżce można powiedzieć middleware i

6:27tutaj ją podać na przykład auth czy manage-posts, ale można również

6:31utworzyć grupę. Wszelkie rzeczy które mamy admin moglibyśmy zrobić group, tutaj

6:38podamy za chwilkę jedną rzecz, a druga będzie to taka funkcja i wszystkie

6:43ścieżki, które tutaj zdefiniowaliśmy moglibyśmy wrzucić do środka. Tutaj

6:48moglibyśmy powiedzieć prefix, to jest

6:52admin dzięki temu wszystkie, które w środku mogłyby już tego

6:56prefiksu nie mieć. Zapewniam cię że zadziała to dokładnie tak samo. A dodatkowo

7:01możemy tutaj podać właśnie middleware i to

7:06jako taką tablicę tu moglibyśmy powiedzieć can:manage-posts i

7:12jeżeli tutaj to wykomentujemy sprawdźmy

7:18czy to zadziała tak samo. Jak widzisz w się tutaj nie da przejść, ale sama

7:22ścieżka jest poprawna, więc to jest kilka sposobów na to możemy to zrobić. Ja

7:26zostawię to takiej formie jak było to wcześniej, ale pamiętaj, że możesz to również

7:30z tego poziomu zabezpieczać.