更新

Question

Product.supplierID = Supplier.supplierID
---------         ----------
|Product|---------|Supplier|
---------         ----------
                       |
                       |  Supplier.supplierID = User.supplierID
                       |
                   ---------
                   |  User |
                   ---------

使用上面的表结构，应用程序使用ActiveController的子类，并重写prepareDataProvider来限制登录的每个index Product列表User 1}}可以看到那些匹配supplierID值的人。 actions() ProductController方法中的此类内容。

$actions['index']['prepareDataProvider'] = function($action)
{
    $query = Product::find();
    if (Yii::$app->user->can('supplier') &&
        Yii::$app->user->identity->supplierID) {
        $query->andWhere(['supplierID' => Yii::$app->user->identity->supplierID]);
    }
    return new ActiveDataProvider(['query' => $query]);
};

这样可以正常使用，但我希望使用checkAccess()来限制actionView()一个Product。

目前，登录的User可以通过更改网址中的Product来访问productID，无论是否具有相应的supplierID。

看起来我无法访问Product的特定实例，检查supplierID，直到actionView()返回，这是我希望检查发生的时间。

我可以覆盖checkAccess()来限制访问并抛出相应的ForbiddenHttpException吗？

Answer 1

检查模型是否存在的函数如何：

protected function modelExist($id)
{
    return Product::find()
    ->where([ 'productID' => $id ])
    ->andWhere(['supplierID' => Yii::$app->user->identity->supplierID ])
    ->exists(); 
}

如果productID是您的产品主键，那么{em> yii \ rest \ UrlRule 将/products/1的请求翻译为/products?productID=1。

在这种情况下，当productID作为 param 提供时，您可以使用beforeAction快速检查是否存在此类型号＆amp;如果没有执行操作或抛出错误：

// this array will hold actions to which you want to perform a check
public $checkAccessToActions   = ['view','update','delete'];

public function beforeAction($action) {
    if (!parent::beforeAction($action)) return false;

        $params = Yii::$app->request->queryParams;

        if (isset($params['productID']) {
           foreach ($this->checkAccessToActions as $action) {
              if ($this->action->id === $action) {
                  if ($this->modelExist($params['productID']) === false)
                       throw new NotFoundHttpException("Object not found");
              }
           }
    }
    return true;
}

更新

由于问题是关于覆盖rest Active Controller中的checkAccess方法，我认为留下一个例子是有用的。

在设计Yii2 REST的方式中，所有delete，update和view操作都会在加载模型实例后调用checkAccess方法：

// code snippet from yii\rest\ViewAction
$model = $this->findModel($id);
if ($this->checkAccess) {
    call_user_func($this->checkAccess, $this->id, $model);
}

create和index操作也是如此，但他们不会将任何模型实例传递给它：call_user_func($this->checkAccess, $this->id)。

所以你要做的事情（当用户试图查看，更新或删除他不是供应商的产品时抛出ForbiddenHttpException ）也可以通过这种方式实现：

public function checkAccess($action, $model = null, $params = [])
{
    if ($action === 'view' or $action === 'update' or $action === 'delete') 
    {
        if ( Yii::$app->user->can('supplier') === false
             or Yii::$app->user->identity->supplierID === null
             or $model->supplierID !== \Yii::$app->user->identity->supplierID ) 
        {
             throw new \yii\web\ForbiddenHttpException('You can\'t '.$action.' this product.');
        }

    }
}

Yii2 - 覆盖休息ActiveController中的checkAccess

1 个答案:

更新