[2009-01-21] Šikovnější Permission

Souhlasím, to je to, co mi chybělo. Díky!

krajaac napsal(a):

public function assert(Permission $acl, $role, $resource, $privilege)
{
return $acl->getQueriedUser()->getIdentity()->user_id === $acl->getQueriedResource()->ownerId;
 }
}

A co to udelat takto?

<?php
  public function assert(Permission $acl, $role, $resource, $privilege)
  {
    return Environment::getUser()->getIdentity()->user_id === $acl->getQueriedResource()->ownerId;
  }
?>

Niečo takéto asi pomocou anotácie implementovať nepôjde, čo :D

Ako môžem takéto assertion aplikovať na zoznamy? Pretože aj keď môžem riešiť prístup k jednému prvku, ale jemu zvykne predchádzať celý zoznam a tam mi nejak nenapadá ako nato.

actionDefault → Zoznam článkov. Podľa práv vidí všetky, alebo len svoje. To je najlepšie ošetriť where podmienkov už v sql. Ako zistiť, že tam mám hodiť tú podmienku?
actionDetail → Detail článku. Tu je to jasné z príkladu.

Vie niekto? Ešte si začnem myslieť, že nette neni dokonalé =D

Ked implementujem vlastné Member a Article a vrátim po autentizácii v Identity objekt Member, konstructor Identity ho prevedie na array. Mohol by zostat naďalej ako objekt Member (IRole)?
Dal by sa potom elegantnejšie overovať prístup. Bolo by to také čistejšie.

// MyAuthenticator po uspesnom overeni uzivatel vrati Role
function MyAuthenticator::authenticate (..) {
	...
	return new Identity($login, new Member($ownerId), $userdata);
}

function MyAssertion::assert(Permission $acl, $role, $resource, $privilege) {
	$acl->getQueriedRole() ....
	...
}

// nasledne overenie autorizacie v Presenteri, vyvola MyAssertion::assert,
// ale k objektu Member sa cez getQueriedRole() nedostanem
Environment::getUser()->isAllowed(new Article($ownerId))

// iste, da sa to nahradit, komplikovanejsim
$identity=Environment::getUser()->getIdentity();
$member=new Member($identity->role, $identity->ownerId);
$acl=Environment::getUser()->getAuthorizationHandler();
$acl->isAllowed($member, new Article($ownerId))

Editoval viktorc (14. 8. 2009 15:44)

Super. Presne to som potreboval.
Funguje to, diky.

phx napsal(a):

Otazka: Proc Assertion musi byt objekt? Osobne se mi jevi hezci a univerzalnejsi callback.

Odpověď je trošku rozsáhlejší. Ale ano, tady by callback nejspíš pasoval lépe.

Můžu se zeptat, proč už tahle feature není v Nette 1.0? Nebo se to změnilo?

hrach napsal(a):

je tam, jen misto obejktu predavas callbacky, viz https://github.com/…a74f1468935c

OK, to je určitě o něco intuitivnější…

Tusim toto zozerie:

$this->allow('member','article', 'edit', new Nette\Callback( new Article_Edit_Assertion, assert ) );

Editoval brano (20. 7. 2010 18:05)

Asserce byly nahrazeny callbacky.

Vlastně, když to rozmýšlím, tak je to asi jediná cesta a není ani nečisté. Prostě mě by se hodilo, aby Permission nebral role, ale rovnou uživatele. A právě tím, že definuji roli za každého uživatele, tak tím docílím takového chování. Samozřejmě klasické role (generic, skupiny) s tím lze míchat.

gmvasek: chtěl bych se o tom dozvědět víc. Původně jsem sem chtěl napsat, že jediné, co jsem se dočetl, je, že místo class Assertion jsou callbacky.

Jinak ještě jsem našel další pohled na Asserce (i když do jsou funkce už, tak se mi tenhle název líbí): defatko umožňuje seskupovat množiny zdrojů – místo, abych definoval pro každý article jeden resource, tak definuji 1 article a v asserci rozhoduji, zda je user jeho vlastníkem. Šikovná věc.

Zdravím,
já bych měl k tomuto tématu otázku na odmítnutí či povolení přístupu k jednotlivým částem aplikace. Práva mám definována v databázi dle schématu ACL (resource, privilege, role, acl) a takto je načítám přes svůj Autorizátor, který dědí třídu „Permission“.
Chtěl bych vyřešit to, že když uživatel přes URL zadá požadavek na nějaký presenter a akci, ke které nemá přístup, aby byl přesměrován na hlavní stránku. V současné době jsem to vyřešil takhle:

<?php
abstract class BasePresenter extends Nette\Application\Presenter
{

      protected function startup()
      {
        parent::startup();
        if(!$this->getUser()->isAllowed($this->getResource(),'show')) $this->redirect('Homepage:');//pokud uživatel nemá právo prohlížet daný Presenter, bude automaticky přesměrován
      }//public function startup()

      /**
       * Chráněná abstraktní metoda "getResource", kteoru mís všichni potomci Základního preseneru překrýt. Má vracet řetězec obsahující název "zdroje"
       */
      protected abstract function getResource();

?>

Čili předek všech Presenterů kontroluje přes „isAllowed“, jestli uživatel má právo na daný zdroj. (Zatím to zkouším pouze na úrovni toho, že beru zdroj = presenter). V každém potomkovi pak dojde k implementaci metody „getResource()“, která vrací řetězec se jménem presenteru.

<?php
class RegistrationPresenter extends BasePresenter
{
  private $resource = "registration";

  protected function getResource()
  {
    return $this->resource;
  }//protected function getResource()
?>

A přesně tady bych se chtěl zeptat, jestli to jde vyřešit nějak lépe než prostě staticky uloženou hodnotou ve vnitřní proměnné daného presenteru?
Předem díky za rady.

bojovyletoun napsal(a):

využít` $this->name nebo $this->action `.. jinak doporučuji pročíst toto , je to ale dlouhé, ale pořád jde o jeden z nejlepších tutoriálů

Díky Ti, to první je přesně to, co jsem hledal, ale nějak jsem se k těmto vlastnostem nemohl dopátrat. Na ten zmíněný odkaz se ještě určitě podívám, už jsem si ho jednou četl, ale ještě to jednou zopakuji, ať se konečně dostanu k tomu „jádru pudla“.

Editoval Podbor (24. 3. 2011 9:25)

V sablone new to by som tam moc netlacil. Skor to co je v $u by malo iplementovat IResource.

Ale preco to v sablone nende moc netusim… asi by malo

Trochu se vracím k programování a občas se zasekávám na základních věcech. Teď přemýšlím, jak nejelegantněji řešit velmi obvyklý úkol: Přihlášený uživatel může upravovat svůj profil, ale ne ostatní profily.

Takže mám uživatele $user a nějaký uživatelský profil $profile. Jak má vypadat ta omáčka, aby se dalo napsat toto?:

$user->isAllowed($profile, 'edit');

Autorizér pro rozhodnutí potřebuje znát $user->id a $profile->user_id. Přečetl jsem si toto vlákno a zatím nejpoužitelnější, co mi z toho vychází, je zhruba tohle:

class User extends Nette\Security\User implements Nette\Security\IRole
{
	public function getRoleId()
	{
		return __CLASS__;
	}

	public function __construct()
	{
		$this->addRole($this);
	}
}

class Profile implements Nette\Security\IResource
{
	// ...
}



$acl->allow(null, null, 'edit', function ($permission, $role, $resource, $privilege) {
	$queRole = $permission->getQueriedRole();
	$queResource = $permission->getQueriedResource();
	if (($queRole instanceof User) && ($queResource instanceof Profile)) {
		return $queRole->getId() === $queResource->getUserId();
	} else {
		return false;
	}
});

Zkrátka z uživatele udělat jeho vlastní roli a jeho ID potom získávat přes getQueriedRole.

Ale moc se mi to nelíbí. Kdybych to tímto způsobem psal v C#, musel bych přetypovávat a to obvykle spolehlivě značí špatný návrh. Krom toho si nejsem moc jistý tím, co mám vracet v getRoleId a v getResourceId – spíš nějaký identifikátor typu („profile“, „user“ apod.) nebo spíš identifikátor konkrétního objektu („profile/123“, „user/321“ apod.)?

Budu rád za každou myšlenku.

Profilem jsem nemyslel systémové údaje o uživateli, ale spíš něco jako profil na Facebooku nebo na Lidech. Prostě stránka, kam si uživatel může nahrát fotku a nějaký kecy, ale jinak je to samostatná entita.

Uznávám, že jsem možná nevybral nejlepší příklad, ale můžeme si místo profilu představit třeba článek v blogu: Uživatel může upravovat svoje články, ale ne cizí.

class User extends Nette\Security\User implements Nette\Security\IRole
{
	function __construct()
	{
		$this->addRole($this);
	}
	...
}

class Article implements Nette\Security\IResource
{ ... }

$acl->allow(null, null, 'edit', function ($permission, $role, $resource, $privilege) {
        $queRole = $permission->getQueriedRole();
        $queResource = $permission->getQueriedResource();
        if (($queRole instanceof User) && ($queResource instanceof Article)) {
                return $queRole->getId() === $queResource->getAuthorId();
        } else {
                return false;
        }
});

Příklad použití:

{if $user->isAllowed($article, 'edit')}
	<a n:href="Article:edit $article->id">Překopat</a>
{/if}

Je tohle ten nejlepší způsob?

Assertion už hodně dlouho neexistuje.

Juan napsal(a):

Ehm, četl si první první příspěvek? Zdá se mi to nebo popisuje přesně to, co potřebuješ? Nejčistším řešením asi bude použití Assertion.

Ehm, četl. Ano, první příspěvek zřejmě navrhuje velmi podobné řešení a mě to připadá jako špinavé řešení. Další příspěvky ve vlákně navrhují buďto totéž, nebo ještě horší (Environment::getUser()). Vzhledem k tomu, že je to 3 roky starý materiál, tak jsem doufal, že někdo od té doby třeba přišel na nějaké čistší řešení.