Ukládání Permission do databáze

Otazka: dynamicka uprava roli a zdroju = napr dnes role moderator muze mazat clanky a zitra mu tuto moznost seberu?

Co je mysleno zdrojem? Roli chapu jako nazev role (admin, moderator, uzivatel, host, …)

Osobne bych vse resil nejaky seznamem roli (kazda role ma nejaka opravneni) a uzivatelim jen ty role prideloval, ale to jsem asi vedle co? (vedle zminovaneho problemu).

Davide muzes mi okomentovat vyznam sloupecku? Neco chapu, ale…

• id = PK
• role = nazev role (admin, moderator,…)
• resource = zdroj, ale ceho, na co?
• privillege = opravneni???
• allowed = povoleni???

Osobne jsem si to predstavoval, kdyz zaznam v DB je prava mam kdyz neni nema.

Diky.
Ptam se proto, ze neco podobneho budu take resit…

Bodlo by napsat co je cilem aby logika opravneni zvladala. Takhle se v tom moc nevyznam. Napr chci stromovou strukturu roli s dedenim opravenini…

Krasne receno;)

Jen je nutne dat si pozor pri dedeni prav od vice rodicu. Reseni bude asi pravidlo ze povoleni vyhrava. (myslim tim kdyz se sejdou od rodicu prava, kde jeden tvrdi, ze muze a druhy ze nee ⇒ potomek muze)

Panda to popsal naprosto přesně. Jednu z možných implementací nabízí třída Nette\Web\User (kterou jsem dnes ráno zkusil updatovat, budu rád za feedback).

• každý uživatel může mít v jednu chvíli přiřazeno více rolí
• nepřihlášený uživatel má automaticky roli $user->guestRole (výchozí hodnota 'guest')
• autentizovaný (tj. přihlášený) uživatel bez identity má automaticky roli $user->authenticatedRole (výchozí hodnota 'authenticated')
• autentizovaný uživatel s identitou ($user->getIdentity()) vychozí roli nezíská (TODO: upravit chování?), o role se stará $user->getIdentity()->getRoles()

Identita je objekt implementující rozhraní Nette\Security\IIdentity. Nette\Web\User jej udržuje v session. Jeho výchozí implementace Nette\Security\Identity udržuje informaci o jméně, rolích a libovolných dalších datech. Nicméně (zatím) jako ValueObject, tedy nastaví se v konstruktoru a poté nelze data měnit.

Pozor: ačkoliv má uživatel identitu, nemusí být přihlášený! Identita se sice obvykle získá při přihlášení, ale i když vás systém po nějaké době odhlásí ($user->signOut()), stále si ji pamatuje (jméno, obsah košíku na eshopu, …). Pokud se to hodí, můžeme při odhlášení identitu vymazat: $user->signOut(TRUE).

Autentizace

Autentizace = přihlášení. Zajišťuje ji $user->authenticationHandler, tj. objekt implementující rozhraní Nette\Security\IAuthenticator. Jeho triviální implementací je třída Nette\Security\SimpleAuthenticator, která dostane v konstruktoru seznam uživatelů a hesel jakožto asociativní pole. Úkolem handleru je v metodě authenticate(array $credentials) ověřit, zda uživatelské jméno a heslo odpovídá a v případě úspěchu vrátit identitu (TODO: udělat to volitelně?). Neúspěch indikuje vyhozením výjimky Nette\Security\AuthenticationException s popisem důvodu. Lze využít připravené konstanty IDENTITY_NOT_FOUND nebo INVALID_CREDENTIAL třídy výjimky.

Autorizace

Autorizace = zjištění, zda má uživatel právo to či ono udělat. Rozhoduje se na základě rolí (kde se berou jsem popsal výše) a toho, zda je uživatel přihlášen. V nejjednodušších případech si vystačíme s indikátorem přihlášení:

if ($user->isAuthenticated()) ..

Silnější mechanismus je rozhodování na základě rolí:

if ($user->isInRole('editor')) ..

S tím si u většiny Běžných Aplikací™ vystačíte.

Nejsilnější mechanismus poskytuje autorizační handler ($user->authorizationHandler), tj. objekt implementující rozhraní Nette\Security\IAuthorizator s metodou isAllowed(). Jeho implementací je právě třída Permission, do hry tak kromě rolí vstupují i parametery resource & privilege, které vysvětlil Panda.

if ($user->isAllowed($resource, $privilege)) ..

Protože uživatel může mít více rolí, povolení dostane, pokud alespoň jedna role má povolení. Oba parametry jsou volitelné, výchozí hodnota nese význam všechny. Takže pokud např. parametr $privilege nevyužijeme, můžeme ho vynechat.

Ještě upozornění: pokud uživateli po odhlášení zůstane identita, tak i včetně všech rolí – získatelných přes $user->getIdentity()->getRoles(). Nicméně metoda $user->getRoles() stav přihlášení zohledňuje. Stejně tak i dotazy isInRole() a isAllowed() – proto je není nutné kombinovat s dotazem isAuthenticated().

Odkud se objekty berou?

Žádná má knihovny nepoužívá singletony, Nette není výjimkou. Globální úložiště pro služby (services) poskytuje Nette\Environment::getServiceLocator(), zkratkou pro získání objektu User je Environment::getUser(). Objekt Nette\Web\User má settery pro autorizační a autentizační handlery, ale aby to celé pracovalo hezky líně (tj. objekty se vytvářejí, až když jsou skutečně potřeba), pokouší se Nette\Web\User získat handlery opět přes metodu Nette\Environment::getService(), kde identifikátorem je název interface.

Principiálně tedy stačí nastavit:

Environment::getServiceLocator()->addService($authenHandler, 'Nette\Security\IAuthenticator');
Environment::getServiceLocator()->addService($authorHandler, 'Nette\Security\IAuthorizator');

// kde handler je buď hotový objekt (pak to ale není lazy), jméno třídy nebo callback na továrnu

Službu lze nastavit i skrze config.ini:

service> Nette\Security\IAuthenticator = MyAuthenticator

Implementaci na toto téma jsem sepsal do dokumentace: Dynamická správa rolí a zdrojů.
Nechtěl jsem to dávat do Code Snippets, protože ja tam vazba na databázi a taky protože už jsem něco na tohle téma nakousl v dokumentaci Nette\Security\Permission, ale konkrétně zde se to moc nehodilo tak jsem se to rozhodl jen přesunout, protože to už i lidi začali používat a není to zrovna ukázkový (rozuměj jednoduchý) příklad, jaký by měl být v dokumentaci k dané třídě.