Как красиво оформить проверку прав в Yii?

Question

[nepster-web]

Разбираюсь с правилами, создал все это делал, все работает. Остается дизайнерский вопрос как красивенько формить это дело?

К примеру есть правило для новостей (операция news, которая позволяет удалить, редактировать и добавить) и каждое правило по отдельности.

Yii::app()->user->checkAccess('news') // Добавить, редактировать, удалить
   Yii::app()->user->checkAccess('news:add') // Добавить
   Yii::app()->user->checkAccess('news:edit') //  редактировать
   Yii::app()->user->checkAccess('news:delete') // удалить

Подскажите пожалуйста как правильное (красивее) будет оформить это дело:

Вижу только такой вариант:

$ryle_news = Yii::app()->user->checkAccess('news');
$ryle_news.add = Yii::app()->user->checkAccess('news:add');

if(!$ryle_news || $ryle_news.add)
{
      // У Вас нет прав для добавления новости 
}

Answer 1

[_ _]

По-моему вы слабо понимаете, что делаете.
Если у вас для каждого действия отдельное правило в AuthManager, то зачем вам общее правило?
Вам достаточно проверить Yii::app()->user->checkAccess('news:add'), зачем вам проверять Yii::app()->user->checkAccess('news') и зачем оно вообще нужно?
Хотите дать сразу все привилегии - давайте доступ автоматом ко все операциям.

Comments

[nepster-web]

нет у меня разбито все на группы, операции и команды.

Тоесть к примеру, если это администратор я даю ему права к примеру: news, page и он может удалять, редактировать и так далее.

Если это оператор какой-то, то я даю ему права, news:add, news:edit, page:add, page:edit

Answer 2

[Dmitriy Ronzhin]

Тут скорее всего надо сделать так (в моем случае роли реализованы через консольную команду):
1) работаем с CPhpAuthManager и добавляем операции

$auth = Yii::app()->authManager;
   /* @var $auth CPhpAuthManager */
   $auth->clearAll();
$auth->createOperation('news_view', 'просмотр');
   $auth->createOperation('news_add', 'добавление');
   $auth->createOperation('news_edit', 'редактирование');
  $auth->createOperation('news_delete', 'удаление');

2) работаем с задачами

$task = $auth->createTask('news_admin_task', 'Для администратора сайта разрешаем выполнять все действия сайта');
        $task->addChild('news_edit');
        $task->addChild('news_delete');

 $bisRule = 'return Yii::app()->user->id==$params["news"]->user_id;';
 $task = $auth->createTask('news_owner_task', 'Тут применяем бизнес-логику и разрешаем работать с отдельной новостью автору данной новости', $bisRule);
        $task->addChild('news_edit');
        $task->addChild('news_delete');

3) Работаем с пользователями сайта

$bizRule = 'return Yii::app()->user->isGuest;';
        $role = $auth->createRole(Users::GUEST, 'гость может только смотреть новости', $bizRule);
        $role->addChild('news_view');

        $role = $auth->createRole(Users::AUTOR, 'автор наследуют все что может гость(просмотр новости) + задачу news_owner_task');
        $role->addChild(Users::GUEST);
        $role->addChild('news_owner_task');
        $task->addChild('news_add');

$role = $auth->createRole(Users::ADMIN, 'админ может все!');
        $role->addChild(Users::GUEST);
        $role->addChild('news_admin_task');
        $task->addChild('news_add');

4) Все сохраняем в файл data/auth.php
$auth->save();

5) Теперь работаем в нужном контролере на примере контролера редактирования

class NewsController extends Controller
{
public function actionEditNews($id)
{
 $model = News::model()->findByPk($id); //грузим модель нужную
  if(!Yii::app()->user->checkAccess('news_edit', array('news'=>$model))) //проверяем только операцию, в данном случае не вызовет исключение для пользователей админа и автора именно этого поста, для остальных выдаст 403 ошибку
        {
            throw new CHttpException(403);
        }
}
}

Comments

[nepster-web]

спасибо, я понял о чем Вы. Я еще таблицы использую для этого дела. С 403 ошибкой так и сделаем.

Answer 3

[mihailkog]

Я бы посоветовал использовать для реализации RBAC (контроль доступа на основе ролей) в Yii, например, вот это решение.

Answer 4

[des1roer]

очень сильно пршу опубликовать статью в блоге\на форуме как это правильно делается