Permission

To o čom hovoríš mám riešené v presenteri takto.

<?php

class Admin_News_DefaultPresenter extends Admin_BasePresenter
{
	function startup()
	{
		parent::startup();
		$this->model = new NewsModel();
	}

	function beforeRender()
	{
		$this->changeView('default');
		$this->template->add = $this->isAllowed('write');
		parent::beforeRender();
	}

	function actionDefault()
	{
		if($this->isAjax()) {
			$this->template->popupControl = null;
			$this->invalidateControl('popup');
		}
		// Filter
		$filter = new Filter($this, 'filter', $this->model->definition['News']);

		$this->template->filter = $filter;

		// DataGrid
		$grid = new DataGrid($this, 'grid');

		$where = array('languageId=%i', Environment::getVariable('languageId'));
		if($this->isAllowed('owner'))
			array_push($where, ' AND userId=%i', $this->user->identity->id);

		$grid->bindDataTable(dibi::getConnection(), 'News', $where);
		$grid->setFilter($filter->getWhere());
		$grid->setDefinition($this->model->definition['News']);
		$grid->setHiddenColumns(array('id'));

		if($this->isAllowed('read')) {
			$grid->addLink('title', 'detail', 'id');
			$grid->setRowLink('detail', 'id');
		}
		elseif($this->isAllowed('write')) {
			$grid->addLink('username', 'edit', 'id');
			$grid->setRowLink('edit', 'id');
		}

		$this->template->grid = $grid;
		if($filter->isSubmitted())
			$grid->invalidateControl();
	}

	function actionDetail($id)
	{
		$data = $this->model->getNewById($id);
		$allowed = false;
		if($this->isAllowed('owner') && $this->user->identity->id == $data['userId'])
			$allowed = true;
		elseif($this->isAllowed('read'))
			$allowed = true;
		if($allowed) {
			$detail = new DetailView($this, 'detail');
			$detail->setDefinition($this->model->definition['News']);
			$detail->setData($data);
			if($this->isAllowed('write'))
				$detail->addButton(array('Upraviť', 'edit', 'id'));
			$this->template->popupControl = $detail;
			$this->invalidateControl('popup');
		}
	}

	function actionAdd()
	{
		if($this->isAllowed('write')) {
			$form = $this->newsForm();
			$form->setDefaults(array('active' => 1));
			$this->template->popupControl = $form;
		}
	}

	function actionEdit($id)
	{
		$values = $this->model->getNewById($id);
		if(($this->isAllowed('write') && !$this->isAllowed('owner')) ||
			($this->isAllowed('write') && $this->isAllowed('owner') && $this->user->identity->id == $values['userId'])) {
			$form = $this->newsForm(true);
			$form->setDefaults($values);
			$this->template->popupControl = $form;
		}
	}

	// ...
?>

Práva mám Read, Write, Owner.

Read – dostane sa len do detailu

Read, Owner – dostane sa len do detailu svojich

Write – môže pridávať a upravovať

Write, Owner – môže pridávať a upravovať len svoje

====

Tak by ti to mohlo ísť ni? Bo podľa toho čo si popísal tak nejak to používam aj ja.

V jednej aplikácii mám riešene takto práva napevno pre role Administrátor a maklér.

V cms mám toto riešene dynamicky a všetko mi zatiaľ funguje.

Jod napsal(a):

To o čom hovoríš mám riešené v presenteri takto.

…

Imho to ověřování by se mělo řešit už v modelu. Tedy pokud se bavíme o vypisování novinky podle id… modelu řeknu

<?php
$this->model->getNewById($id);
?>

a ten mi buď vrátí tu onu novinku, na kterou se ptám, protože na ní mám práva, nebo třeba vyhodí výjímku, že jsem chuligán, a že na ní právo nemám.

Pokud řešim vypisování všech novinek (ať už právo mám či ne) s tím, že vedle nch mám odkazy na edit případně delete, tak to bych zas řešil až v šabloně. Třeba podobnym způsobem, jako je ve fifteen řešený „isClickable“ políčko.

Tak to teda vidím já, je možné, že naprosto špatně :)

Každopádně do Nette\Security\Permission jsem ještě nekoukal, takže netušim jak se s tím pracuje.

Jasně je mi to jasný. Já jsem spíš pro, řešit to v modelu…takhle ti na ta data může sahat jakýkoliv objekt ať už práva má, nebo ne…pokud práva pořešim v modelu, tak vždy dostanu jen to, na co mám práva. Ale když jsi zvyklý to takhle řešit, tak proč ne :)

phx napsal(a):

Zdravim

Jsem nucen predelat prava ve sve app a tak se prokousavam Nette\Security\Permission a podobne.

Teď mě jen tak napadlo, po zběžném přečtení dokumentace…zdědit Permission, překrýt allow a deny a udržovat si tu strukturu v nějakym úložišti, třeba poli. Implementovat getRolesByResourceAndRules($resource, $rules);

Je to jen nápad…:)

Editoval Warden (15. 1. 2009 13:02)

Jen tak mimo:

V domumentaci je naznacneo, ze role muze mit 1 a vice rodicu, od kterych dedi prava. Rekneme ze budu mit 2 rodice. Jeden ma akci zakazanou, ale druhy ji ma povolenou. Jaka budou prava potomka? Co se preferuje? Povoleni nebo zakazani?

Warden napsal(a):

Dědí se hierarchicky, takže imho politika posledního platného…pokud vím, tak nejde dědit od dvou předků najednou (C++), takže nevznikne problém nekompatibility dvou práv na stejné úrovni…

Nemas pravdu:(

$acl = new Permission();
$acl->addRole('guest');
$acl->addRole('registered', 'guest');
$acl->addRole('administrator', 'registered');
$acl->addRole('phx', array('guest', 'registered'));

echo '<pre>';
print_r($acl);

Vystup:

[roles:protected] => Array
        (
            [guest] => Array
                (
                    [parents] => Array
                        (
                        )
                    [children] => Array
                        (
                            [registered] => 1
                            [phx] => 1
                        )

                )
            [registered] => Array
                (
                    [parents] => Array
                        (
                            [guest] => 1
                        )
                    [children] => Array
                        (
                            [administrator] => 1
                            [phx] => 1
                        )

                )
            [administrator] => Array
                (
                    [parents] => Array
                        (
                            [registered] => 1
                        )
                    [children] => Array
                        (
                        )
                )
            [phx] => Array
                (
                    [parents] => Array
                        (
                            [guest] => 1
                            [registered] => 1
                        )
                    [children] => Array
                        (
                        )
                )

Role phx ma 2 rodice. A ted babo rad. Coz me privadi k veci, ze v dokumentaci alternativni zapis neni tak zcela alternativni, ale dosahne se kapku jineho vysledku:(

Jinak diky, neco podobneho jsem ohledne prav Vedouciho take vymyslel.

• obude jeden zdroj: napr clanky
• opravneni: ctiSvoje, ctiPodrizenych, ctiVse (edit…)
• reseni: pri ctiPodrizenych musim ziskat seznam vsechn roli (rekurzivne), od kterych ma prava dedim. Pak uz to neni problem:)

Nakonec tedy zbyva uz jen ten seznam roli, ktere maji nejake pravo k danemu zdroji. HELP:)

Warden napsal(a):

…

Mně to přijde nelogický…dokonce bych ho třeba i zakázal a celou funkčnost bych nechal jednoduše takovou, jak jsem popisoval – možnost dědit pouze od jednoho předka s možným překrýváním práv, pak by nevznikaly zbytečné problémy. Co si o tom kdo myslí?

…

Neco mi rika, ze je tam vyssi vaha u pravidla deny, takze pokud dojde ke konfliktu, vyhraje. Ale nejsem si tim jisty.

Kazdopadne bych nemazal. Praktickou vyuzitelnost vidim v definovani ruznych roli napr. v ramci modulu. Osoba s pristupem do vice modulu tak bude dedit vice prav (zde napr. jednu roli z kazdeho modulu).

vlki napsal(a):

Neco mi rika, ze je tam vyssi vaha u pravidla deny, takze pokud dojde ke konfliktu, vyhraje. Ale nejsem si tim jisty.

Kazdopadne bych nemazal. Praktickou vyuzitelnost vidim v definovani ruznych roli napr. v ramci modulu. Osoba s pristupem do vice modulu tak bude dedit vice prav (zde napr. jednu roli z kazdeho modulu).

Vim co myslíš, chápu…ale osobně mi to přijde zbytečně matoucí. Radši bych to zachoval co nejvíc simple a průhledné a takovýhle problém řešil možná nějakou super rolí, mezimodulovou…to mě jen teď napadlo, když jsem přišel vymrzlej z venčení psa, takže promyšlený to nemám ;) Ale možná by stálo za to nad tím popřemýšlet, nebo nad nějakým jiným mechanismem, který podobné věci bude řešit a přitom nebude implementovat přímě dědění od více předků, což je imho cesta do pekel…ale je to věc názoru.

@phx: šup s tím do dokumentace ;)

Uznavam, kapku prekombinovany, ale vzdal jsem 1. kod co mi prisel pod ruku na otestovani:))

Budu rad, kdyz to nekdo do te dokumentace da. Nemam prava do dokumentace a moc si v tom neverim. Obcas jsou moje vyjadreni silena.