laravel框架应用拦截器：Laravel Gates

2023-06-01 00:00:00 laravel 框架拦截器

Laravel Gates（拦截器）

顾名思义就是允许你授权用户访问应用程序的某些区域或全局。

你可以轻松地在应用程序中定义拦截器，然后使用它们来允许或拒绝访问。

定义拦截器

打开App\Providers\AuthServiceProvider.php文件

并在boot()方法中添加以下内容：

public function boot()
{
    $this->registerPolicies();
    Gate::define('access-admin', function ($user) {
        return $user->admin;
    });
}

这样就可以在整个应用中任何想验证管理员用户的地方使用这个拦截器。

使用拦截器

要使用拦截器，我们可以调用Gate::allows()或Gate::denies()方法，如下所示：

Route::get('administration', function(){
    if (Gate::allows('access-admin')) {
        echo 'Welcome to the admin section';
    } else {
        echo 'You shall not pass';
    }
});

ps:

Gate::denies()方法会对Gate::allows()执行反向检查

拦截器的好处是我们现在可以随时更改我们的定义，授权逻辑会同步在整个应用程序中更改。

使用拦截器的另一个目的是检查与数据相关的权限。

以博客为例，我们可以授予用户对他们创建的帖子的编辑权限。

我们可以将数据传递给拦截器以检查用户是否有权执行某项操作。

像拦截器传递数据

假设我们的应用程序有一个Post表,其中有一列 user_id，其中包含创建它的用户的ID。

我们可以定义一个 Gate（拦截器）来确定用户是否可以像这样编辑特定的帖子：

Gate::define('edit-post', function ($user, $post) {
    return $user->id === $post->user_id;
});

两个参数被传递给我们的拦截器定义。

第一个是 $user 对象，其中包含经过身份验证的用户，第二个参数是我们的 $post 对象。

如果没有经过身份验证的用户，拦截器将返回 false

如果经过身份验证的用户是原始作者，拦截器将允许访问；

否则将拒绝访问。

下面是一个快速示例，说明我们如何使用新的 edit-post 拦截器:

Route::get('edit/{id}', function($id){
    $post = \App\Model\Post::find($id);
    if( Gate::allows('edit-post', $post) ){
        echo 'You can edit this post';
    } else {
        echo 'You shall not pass';
    }
});

上面，我们在示例中使用了 Route Closures，但我们可能希望将此路由映射到控制器。

这也将让我们使用新的 Authorize 函数。

Authorize 授权助手函数

除了效率之外，使用拦截器的另一个原因是辅助函数。

假设我们将路由映射到控制器：

Route::get('edit/{id}', '[email protected]');

我们可以使用 authorize() 助手来检查经过身份验证的用户是否有权编辑帖子：

<?php
namespace App\Http\Controllers;
use App\Models\Post;
use Illuminate\Http\Request;
class PostController extends Controller
{
    public function edit($id){
        $post = Post::find($id);
        $this->authorize('edit-post', $post);
    }
}

如果控制器从 App\Http\Controllers\Controller 基类继承而来，你可以像使用 Gate::allow() 函数一样使用 authorize() 助手函数。

最后，如果我们想在视图中检查授权怎么办？

我们可以使用 @can Blade 函数助手来做到这一点。

在视图层进行鉴权

假设 Blade 视图如下：

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>{{ $post->title }}</title>
</head>
<body>
    <h1>{{ $post->title }}</h1>
    <p>{!! $post->body !!}</p>
</body>
</html>

我们可以使用 Blade 助手函数 @can 检查当前用户是否被允许编辑这篇文章：

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <meta name="viewport" content="width=device-width, initial-scale=1.0">
    <title>{{ $post->title }}</title>
</head>
<body>
    <h1>{{ $post->title }}</h1>
    <p>{!! $post->body !!}</p>
    @can('edit-post', $post)
        <a href="edit/{{ $post->id }}">Edit Post</a>
    @endcan
</body>
</html>

如果经过身份验证的用户是该帖子的原始作者，他们将看到一个编辑帖子按钮。

使用 @can 助手函数可以使我们的代码更易于阅读和管理。

你也可以使用 @cannot 作反向操作。

总结

这是在 Laravel 应用程序中使用 Gates（拦截器）的基础知识。

拦截器允许我们轻松授权特定用户访问我们的应用程序区域。

这也可以称为访问控制列表 (ACL)，即与对象关联的权限列表。

但是我们不应该使事情过于复杂...... 在最简单的场景中，拦截器用于允许或拒绝访问。

用户既可以被允许授权，同时也可以被拒绝授权。

要了解有关 Laravel Gates（拦截器）的更多信息，请务必访问 Larave 授权相关的文档。

https://laravel.com/docs/8.x/authorization

相关文章