Question

我需要一些关于如何处理以下场景的访问控制的建议：

株式会社
- 有一家或多家公司
- 有一个或多个ROLE_CORP_ADMIN
公司
- 有一个或多个地区。
- 有一个或多个ROLE_COMPANY_ADMIN。
区：
- 拥有零个或多个商店。
- 有一个或多个ROLE_REGION_ADMIN。
商店：
- 拥有零个或多个资产。
- 有一个或多个ROLE_STORE_ADMIN。
- 零或多个ROLE_STORE_EMPLOYEE。
- 零或多个ROLE_STORE_CUSTOMER（许多更好）。

该应用程序应该支持许多公司。

我的直觉是为其管理员创建每个实体的多对多关系（例如region_id，user_id）。根据性能的不同，我可以使用user_id，corporation_id，company_id，region_id和store_id更加非规范化的表格。然后我会创建一个选民类（一致的策略）：

public function vote(TokenInterface $token, $object, array $attributes)
{
    // If SUPER_ADMIN, return ACCESS_GRANTED
    // If User in $object->getAdmins(), return ACCESS_GRANTED
    // Else, return ACCESS_DENIED
}

由于权限是分层的，getAdmins()函数也会检查所有所有者的管理员。例如： $region->getAdmins()还将返回拥有公司和公司的管理员。

我觉得我错过了一些明显的东西。根据我实现getAdmins()函数的方式，这种方法每次投票至少需要对数据库进行一次命中。有没有“更好”的方法来解决这个问题？

提前感谢您的帮助。

Answer 1

我做的就是我上面提到的，它运作良好。根据{{3}}，选民很容易实施。多对多<entity>_owners表可以正常工作。

为了处理分层权限，我在实体中使用了级联调用。不优雅，不高效，但速度方面也不差。我确定很快就会重构一个DQL查询，但现在级联调用仍然有用：

class Store implements OwnableInterface
{
    ....

    /**
     * @ORM\ManyToMany(targetEntity="Person")
     * @ORM\JoinTable(name="stores_owners",
     *      joinColumns={@ORM\JoinColumn(name="store_id", referencedColumnName="id", nullable=true)},
     *      inverseJoinColumns={@ORM\JoinColumn(name="person_id", referencedColumnName="id")}
     *      )
     *
     * @var ArrayCollection|Person[]
     */
    protected $owners;

    ...

    public function __construct()
    {
        $this->owners = new ArrayCollection();
    }

    ...

    /**
     * Returns all people who are owners of the object
     * @return ArrayCollection|Person[]
     */
    function getOwners()
    {
        $effectiveOwners = new ArrayCollection();

        foreach($this->owners as $owner){
            $effectiveOwners->add($owner);
        }

        foreach($this->getRegion()->getOwners() as $owner){
            $effectiveOwners->add($owner);
        }

        return $effectiveOwners;
    }

    /**
     * Returns true if the person is an owner.
     * @param Person $person
     * @return boolean
     */
    function isOwner(Person $person)
    {
        return ($this->getOwners()->contains($person));
    }

    ...

}

Region实体也会实施OwnableInterface，其getOwners()会调用getCompany()->getOwners()等。

如果没有所有者（null），array_merge会出现问题，因此新的$effectiveOwners ArrayCollection似乎运行良好。

这是选民。我从Symfony cookbook偷走了大部分选民代码和OwnableInterface以及OwnerInterface：

use Acme\AcmeBundle\Security\OwnableInterface;
use Acme\AcmeBundle\Security\OwnerInterface;
use Acme\AcmeUserBundle\Entity\User;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Authorization\Voter\VoterInterface;

class IsOwnerVoter implements VoterInterface
{

    const IS_OWNER = 'IS_OWNER';

    private $container;

    public function __construct(\Symfony\Component\DependencyInjection\ContainerInterface $container) {
        $this->container = $container;
    }

    public function supportsAttribute($attribute)
    {
        return self::IS_OWNER === $attribute;
    }

    public function supportsClass($class)
    {
        if (is_object($class)) {
            $ref = new \ReflectionObject($class);

            return $ref->implementsInterface('Acme\AcmeBundle\Security\OwnableInterface');
        }

        return false;
    }

    public function vote(TokenInterface $token, $object, array $attributes)
    {
        foreach ($attributes as $attribute) {

            if (!$this->supportsAttribute($attribute)) {
                continue;
            }

            if (!$this->supportsClass($object)) {
                return self::ACCESS_ABSTAIN;
            }

            // Is the token a super user? This will check roles, not user.
            if ( $this->container->get('security.context')->isGranted('ROLE_SUPER_ADMIN') ) {
                return VoterInterface::ACCESS_GRANTED;
            }

            if (!$token->getUser() instanceof User) {
                return self::ACCESS_ABSTAIN;
            }

            // check to see if this token is a user.
            if (!$token->getUser()->getPerson() instanceof OwnerInterface) {
                return self::ACCESS_ABSTAIN;
            }

            // Is this person an owner?
            if ($this->isOwner($token->getUser()->getPerson(), $object)) {
                return self::ACCESS_GRANTED;
            }

            return self::ACCESS_DENIED;
        }

        return self::ACCESS_ABSTAIN;
    }

    private function isOwner(OwnerInterface $owner, OwnableInterface $ownable)
    {
        return $ownable->isOwner($owner);
    }
}

Symfony - （动态）分层角色的高效访问控制

1 个答案: