Nalezena chyba v autorizátoru – ACL

Tak ještě update, pokud udělám toto:

$acl->allow('client', 'Address', 'add');

$acl->deny('admin', 'Address');		// Přidána resource
$acl->allow('admin', Permission::ALL, ['view', 'detail']);

bdump($acl->isAllowed('admin', 'Address', 'add'));	// Už vypíše false.

Tak už se add nepodědí a opravdu se přístup k Address zakáže.
Pokud se ale zeptám na to view, nebo detail, který následně povoluji všem:

$acl->allow('client', 'Address', 'add');

$acl->deny('admin', 'Address');		// Přidána resource
$acl->allow('admin', Permission::ALL, ['view', 'detail']);

bdump($acl->isAllowed('admin', 'Address', 'view'));	// Vypíše false.
bdump($acl->isAllowed('admin', 'Address', 'detail'));	// Vypíše false.

Tak vypíše false, i když jsem jej povolil na všechny resources, tedy i na Address

Editoval Bulldog (2. 11. 2022 20:50)

Kdyby to tak bylo, tak bych to chápal taky.
Ovšem v dokumentaci toto chování není popsáno, jediné, co tam je jen ohledně rolí.
Role může dědit od jiné role či od více rolí. Co se ale stane, pokud má jeden předek akci zakázanou a druhý povolenou? Jaké budou práva potomka? Určuje se to podle váhy role – poslední uvedená role v seznamu předků má největší váhu, první uvedená role tu nejmenší.

Bohužel to, že by konkrétní pravidlo mělo přednost před obecným ::ALL nesplňuje tento fakt:

$acl->allow('client', 'Address', 'add');
$acl->deny('client', 'Address', Permission::ALL);

bdump($acl->isAllowed('client', 'Address', 'add'));

Vypíše podle očekávání false.
Přijde mi divné, aby u resources měly konkrétní resources větší váhu, než obecné all a u privileges měly zase váhu podle pořadí.

Editoval Bulldog (3. 11. 2022 9:11)

Na pořadí volání allow() / deny() myslím nezáleží. To že má největší váhu poslední role/resource v seznamu předků se týká pole rolí/resources, které jsou předané jako druhý parametr do addRole/addResource.

Permission je založeno na Zend_Acl a vnitřně funguje úplně stejně. Takže můžeš jako informační zdroj brát i dokumentaci Zend potažmo Laminas. Jen mám pocit, že ty dokumentace jsou sice obsáhlé, ale úplně plytké.

Každopádně jestli najdeš lepší vysvětlení, jak to přesně funguje, bude skvělé, když to sem odkážeš nebo rovnou přidáš do dokumentace.

Tak jsem se na to díval a nechovají se stejně.
Viz příklady:

private function laminas(): void
{
    $acl = new \Laminas\Permissions\Acl\Acl();

    $acl->addRole('client');
    $acl->addRole('admin', 'client');

    $acl->addResource('Address');

    $acl->allow('client', 'Address', 'add');
    $acl->deny('admin');

    bdump($acl->isAllowed('admin', 'Address', 'add'), 'Laminas');	// Vypíše false
}

private function zend(): void
{
    $acl = new \Zend\Permissions\Acl\Acl();

    $acl->addRole('client');
    $acl->addRole('admin', 'client');

    $acl->addResource('Address');

    $acl->allow('client', 'Address', 'add');
    $acl->deny('admin');

    bdump($acl->isAllowed('admin', 'Address', 'add'), 'Zend');	// Vypíše false
}

private function nette(): void
{
    $acl = new Nette\Security\Permission();

    $acl->addRole('client');
    $acl->addRole('admin', 'client');

    $acl->addResource('Address');

    $acl->allow('client', 'Address', 'add');
    $acl->deny('admin');

    bdump($acl->isAllowed('admin', 'Address', 'add'), 'Nette');	// Vypíše true
}

Tedy Zend a následně tedy Laminas se chovají podle očekávání a následující pravidlo přepíše předchozí a vypíší správně False, ale Nette jediné to ignoruje a vypíše True.

Zend se dokonce chová tak, že pokud má potomek nastaveno

$acl->deny('admin');

Tak se při isAllowed nad adminem vůbec do předků nekouká a chová se jako by předky neměl.
Podobně se to chová, pokud nastavíme následující:

// Zend:
$acl->deny('admin', null, 'add');
$acl->allow('client', 'Address', 'add');
$acl->allow('client', 'Address', 'edit');

bdump($acl->isAllowed('admin', 'Address', 'add'), 'Zend');	// Vypíše false
bdump($acl->isAllowed('admin', 'Address', 'edit'), 'Zend');	// Vypíše true

// Nette
$acl->deny('admin', null, 'add');
$acl->allow('client', 'Address', 'add');
$acl->allow('client', 'Address', 'edit');

bdump($acl->isAllowed('admin', 'Address', 'add'), 'Zend');	// Vypíše true
bdump($acl->isAllowed('admin', 'Address', 'edit'), 'Zend');	// Vypíše true

Tedy pokud u Zendu obecně nastavíme potomkovi, že nesmí nad všemi resourcemi provádět určité akce, tak při dotazu na danou akci se pravidla předků ignorují.
U Nette ale převládají pravidla předka.

U definic v rámci jedné role pak samozřejmě záleží na pořadí:

// Zend 1
$acl->deny('admin', null, 'add');
$acl->allow('admin', 'Address', 'add');

bdump($acl->isAllowed('admin', 'Address', 'add'), 'Zend');	// Vypíše true

// Zend 2
$acl->allow('admin', 'Address', 'add');
$acl->deny('admin', null, 'add');

bdump($acl->isAllowed('admin', 'Address', 'add'), 'Zend');	// Vypíše false

// Nette 1
$acl->deny('admin', null, 'add');
$acl->allow('admin', 'Address', 'add');

bdump($acl->isAllowed('admin', 'Address', 'add'), 'Nette');	// Vypíše true

// Nette 2
$acl->allow('admin', 'Address', 'add');
$acl->deny('admin', null, 'add');

bdump($acl->isAllowed('admin', 'Address', 'add'), 'Nette');	// Vypíše true

Takže jak vidíme, tak v Zendu na pořadí záleží, zatímco Nette jej ignoruje a v Zendu existuje mnou předpokládaná hierarchie:

1. Definice v potomkovi mají větší váhu, než definice rodičů.
2. Pořadí uvedení rodičů určuje váhu definic. Tedy v případě $acl->addRole('admin', ['user', 'guest']) mají definice přímo v roli admin nejvyšší váhu, v roli user nižší a v roli guest nejnižší.
3. Definice v rámci jedné role mají váhu podle pořadí přidání. Tedy záleží na pořadí volání allow a deny, přičemž pozdější volaný má větší váhu.

Editoval Bulldog (4. 11. 2022 15:02)