Как сделать безопасный редирект в админке?

Question

[dev400]

Если не админ заходит в админку, то я вижу 2 варианта: или все view оборачивать условием(если существует сессия админа, то гуд, если нет, то ошибка), или во всех контроллерах сделать типо этого(та же самая обертка, по сути):

<?php
namespace Backend\Controllers;

use Common\Base\Controller;

class Index extends Controller
{

    public function index() {

        if ( !isset($_SESSION["admin"]) ) {

            parent::redirect("/admin/auth");

        } else {

            $this->view->render("site/index");

        }

    }

}

parent::redirect() :

protected function redirect($url)
	{
		if (headers_sent() === false)
		{
			header('Location: ' . $url, true, 302);
		}

		exit();
	}

Но все равно чувствую что что то не так делаю. Подскажите плз

Answer 1

[Максим Тимофеев]

Сделать основной контроллер, остальные наследовать от него. В нем делать проверку и редиректить в контроллер авторизации, который можно не наследовать. В любом случае проверка во вью - не правильно.

Comments

[dev400]

это понятно, логику в вид не кладем

[Максим Тимофеев]

Андрей: Тогда в чем проблема. Можно еще создать компонент, который будет разруливать права доступа. Схемы такой реализации можно подсмотреть у любого php фреймворка, например yii2 (www.yiiframework.com/doc-2.0/yii-filters-accesscon...

Answer 2

[trevoga_su]

зависит от задачи
у меня лично проверка прав - это безусловно проверка на уровне контроллера.
если прав нет - редирект с сообщением (пример - www.adverts.ru/admin/user - попытка доступа в админ, к модулю пользователей )
вот код если интересно

проверка на уровне вью нужна только тогда, когда пользователя надо куда-то пустить, но в зависимости от прав что то показывать, что то нет. вот пример - админ панель demo demo перейди в модуль пользователей. отобразится список, но ничего больше сделать не сможешь

Answer 3

[Arris]

Например, так:

$phpauth_config = new PHPAuth\Config();
$phpauth = new Auth($dbi->getconnection(), $phpauth_config); 
$auth_userinfo  = $phpauth->getCurrentUserInfo();
if (!$auth_userinfo && ($auth_userinfo['permissions'] < ADMIN_ROOT_PRIVILEGE)) {
    redirect('/auth/login/');
}