Nette Framework: Ověřování oprávnění a role

Pomalu žádná webová aplikace se neobejde bez mechanismu přihlašování uživatelů a ověřování uživatelských oprávnění. Minule jsme si ukázali, jak je Nette Framework nápomocen při přihlašování uživatelů, a dnes se podíváme na uživatelská oprávnění.

Seriál: Začínáme s Nette Framework (17 dílů)

  1. Nette Framework: zvyšte svoji produktivitu 10.3.2009
  2. Nette Framework: Odvšivujeme 17.3.2009
  3. Nette Framework: MVC & MVP 24.3.2009
  4. Nette Framework: Refactoring 31.3.2009
  5. Nette Framework: Chytré šablony 7.4.2009
  6. Nette Framework: adresářová struktura aplikace 14.4.2009
  7. Nette Framework: AJAX 21.4.2009
  8. Nette Framework: AJAX (pokračování) 28.4.2009
  9. Nette Framework: AJAX (dokončení) 5.5.2009
  10. Nette Framework: Sessions 12.5.2009
  11. Nette Framework: Přihlašování uživatelů 19.5.2009
  12. Nette Framework: Ověřování oprávnění a role 26.5.2009
  13. Nette Framework: Neprůstřelné formuláře 2.6.2009
  14. Nette Framework: Neprůstřelné formuláře II 9.6.2009
  15. Nette Framework: Neprůstřelné formuláře III 16.6.2009
  16. Nette Framework: Cache 23.6.2009
  17. Nette Framework: Co se do seriálu nevešlo? 30.6.2009

Nejprve mi dovolte připomenout dva důležité termíny: autentizace a autorizace. Pod autentizací se rozumí přihlašování uživatelů, tedy proces, při kterém se ověřuje, zda je uživatel opravdu tím, za koho se vydává. A při autorizaci se zjišťuje, zda má již autentizovaný uživatel dostatečná oprávnění pro přístup k určitému souboru či pro provedené nějaké akce. Což si probereme právě dnes.

Autorizace se může v Nette Framework vyhodnocovat na základě členství uživatele v určitých skupinách či přidělených rolích. Začněme ale od úplného začátku.

Chcete se naučit o Nette víc?

Akademie Root.cz školení Úvod do Nette Framework. Kurz je určen všem programátorům v PHP, kteří se chtějí naučit tvořit webové aplikace rychle a kvalitně, bez bezpečnostních děr. Jako aplikační rámec slouží Nette Framework. Školí sám autor Nette – David Grudl. Máte zájem o jiné školení? Napište nám!

Triviální autorizace

Zopakuji, že autorizace předpokládá předchozí úspěšnou autentizaci, tj. že uživatel je spolehlivě přihlášen. U jednoduchých webů s administrací, do které se přihlašuje jen jeden uživatel, je možné jako autorizační kritérium použít metodu isAuthenticated(), kterou znáte z minula. Řečeno srozumitelnějším jazykem: jakmile je uživatel přihlášen, má veškerá oprávnění a naopak.

// use NetteEnvironment;

$user = Environment::getUser();

if ($user->isAuthenticated()) { // je uživatel přihlášen?
        deleteItem(); // pak má k operaci oprávnění
} 

Autorizace na základě rolí

Jemnější řízení oprávnění nabízí tzv. role (nebo též skupiny). Každému uživateli hned při přihlášení přiřkneme jednu či více rolí, ve kterých bude vystupovat. Role mohou být pojmenovány například admin, member, guest apod. Upravíme autentizační handler z předchozího dílu tak, aby při úspěšném přihlášení předal identitě i aktuální roli uživatele:

class MyAuthenticator extends Object implements IAuthenticator
{

  public function authenticate(array $credentials)
  {
    ...
    $row = dibi::fetch('SELECT realname, password, role FROM users WHERE login=%s', $username);
    ...
    return new Identity($row->realname, $row->role); // vrátíme identitu včetně role
  }

} 

Druhý parametrem konstruktoru Identity je buď řetězec s názvem role, nebo pole řetězců – rolí.

Jako autorizační kritérium nyní použijeme metodu isInRole(), která prozradí, zda-li uživatel vystupuje v dané roli:

$user = Environment::getUser();

if ($user->isInRole('admin')) { // je uživatel v roli admina?
        deleteItem(); // pak má k operaci oprávnění
} 

Výhodou a smyslem rolí je nabídnout přesnější řízení oprávnění, ale zůstat nezávislý na uživatelském jméně.

Ještě musím zmínit jednu důležitou věc. Jak už totiž víte, po odhlášení uživatele nemusí dojít ke smazání jeho identity. Tedy i nadále metoda getIdentity() vrací objekt Identity, včetně všech udělených rolí. Nette Framework vyznávající princip „less code, more security“, kdy méně psaní vede k více zabezpečenému kódu, nechce nutit programátora všude psát if ($user->isAuthenticated() && $user->isInRole('admin')) a proto metoda isInRole() pracuje s efektivními rolemi. Pokud uživatel je přihlášen, vrací se role udělené v autentizačním handleru, pokud přihlášen není, má virtuální roli guest.

Autorizační handler

Představuje nejjemnější možné řízení oprávnění. Autorizační handler je objekt implementující rozhraní NetteSecurityI­Authorizator. To má jedinou metodu isAllowed() s úkolem rozhodnout, zda má daná role povolení provést určitou operaci s určitým zdrojem. Rámcová podoba implementace vypadá takto:

require 'Nette/loader.php';

// pokud používáte verzi pro PHP 5.3, odkomentujte následující řádek:
// use NetteObject, NetteSecurityIAuthorizator;

class MyAuthorizator extends Object implements IAuthorizator
{
        public function isAllowed($role = self::ALL, $resource = self::ALL, $privilege = self::ALL)
        {
                return ...; // vrací bool
        }
} 

A následuje příklad použití:

$user = Environment::getUser();

// zaregistrujeme autorizační handler
$user->setAuthorizationHandler(new MyAuthorizator);

if ($user->isAllowed('file')) { // má uživatel oprávnění ke zdroji 'file'?
        useFile();
}

if ($user->isAllowed('file', 'delete')) { // má uživatel oprávnění ke zdroji 'file' a operaci 'delete'?
        deleteFile();
} 

V tuto chvíli záleží čistě na vás, jak implementujete autorizační handler. Nicméně Nette Framework disponuje i jednou poměrně silnou předpřipravenou implementací.

Access control list

Jde o třídu NetteSecurityPer­mission implementující model Access control list. Práce s ní spočívá v definici rolí, zdrojů a jednotlivých oprávnění. Přičemž role a zdroje umožňují vytvářet hierarchie. Příklad:

// use NetteEnvironment, NetteSecurityPermission;

$acl = new Permission;

// definujeme role
$acl->addRole('guest');
$acl->addRole('member');
$acl->addRole('administrator', 'member');  // administrator je potomkem member

// definujeme zdroje
$acl->addResource('file');
$acl->addResource('article');

// pravidlo: host může jen prohlížet články
$acl->allow('guest', 'article', 'view');

// pravidlo: člen může prohlížet vše, soubory i články
$acl->allow('member', Permission::ALL, 'view');

// administrátor dědí práva od člena, navíc má právo vše editovat
$acl->allow('administrator', Permission::ALL, array('view', 'edit'));

// zaregistrujeme autorizační handler
Environment::getUser()->setAuthorizationHandler($acl); 

Na oprávnění se poté opět dotazujeme metodou isAllowed(), jak bylo ukázáno výše.

Pokračování příště

Abychom si mohli přihlašování uživatelů a ověřování uživatelských oprávnění vyzkoušet na funkčních příkladech, hodilo by se nám vytvořit a zprovoznit přihlašovací formulář. Příště se proto podíváme na tuto velmi silnou stránku frameworku a naučíme se tvořit neprůstřelné webové formuláře.


Autor článku je vývojář na volné noze, specializuje se na návrh a programování moderních webových aplikací. Vyvíjí open-source knihovny Texy, dibi a Nette Framework a pravidelně pořádá školení pro tvůrce webových aplikací, které od podzimu 2009 nabídne kurz vývoje AJAXových aplikací.

David Grudl školí, je autorem PHP knihoven Nette Framework, databázové vrstvy dibi a formátovače HTML kódu Texy!.

Věděli jste, že nám můžete zasílat zprávičky? (Jen pro přihlášené.)

Komentáře: 10

Přehled komentářů

v6ak Jedna nebo více rolí?
rokerkony Re: Jedna nebo více rolí?
kluvi Lepsi
romansklenar Re: Lepsi
Ped hmm.. tak jsem stastnym majitelem vypisu Ladenky primo z root.cz
Mastodont Práva pro uživatele
David Grudl Re: Práva pro uživatele
Pavel Cvrček Dotazy
David Grudl Re: Dotazy
Pavel Cvrček Re: Re: Dotazy
Zdroj: https://www.zdrojak.cz/?p=3013