Как запретить действие для всех, кроме владельца?

Question

[Iossarian]

В проекте доступы регулируются с помощью rbac-бихейвера. Есть страница платежной информации к которой можно загрузить договор. Также загруженный договор затем можно скачать. Проблема в том, что ссылка скачивания имеет вид типа site/attachments/file/download?id=43. Использую виджет nemmo/yii2-attachments. В таблице с файлами есть поля itemId (модель, к которой загружается файл) и iserId - собственно, загрузивший договор юзер. Так вот, каким образом в бехейвере или еще где-либо можно прописать условие на возможность скачивания договора только для его владельца? Что-то вроде File->userId !== Yii::$app->user->identity->getId(), но как это правильно прописать?

Comments

[Дмитрий]

Добрый день.
Используйте RBAC
.

[Iossarian]

slo_nik, используется такого вида:

[

                            'allow' => true,
                            'actions' => ['upload', 'download'],
                            'roles' => ['@'],

                        ],

и вот надо как-то задать условия на 'download', что каждому юзеру можно скачивать только свои файлы.

[Дмитрий]

Iossarian, вот я и говорю, используйте RBAC.

[Дмитрий]

Iossarian, при использовании rbac, Вы назначаете роли и права для пользователей и тогда проверка кто может, а кто не может сводится к такой строке в действии.

if(!Yii::$app->user->can('UpdateOwnPost'){
   throw yii\web\ForbiddenHttpException;
}

[Iossarian]

Проверить я смогу, а вот задать условие, которое будет проверяться - этого я пока не могу

[Дмитрий]

Iossarian, почитайте для начала документацию.
Так же посмотрите это видео.
После того, как посмотрите видео, можете почитать эту статью.

Answer 1

[Максим Тимофеев]

регулируются с помощью rbac-бихейвера

конкретного? Где ссылка на это поведение или код?

как это правильно прописать?

В вашем никому не известном поведении - только гадалка поможет.
Но из коробки для этого есть rules:
https://www.yiiframework.com/doc/guide/2.0/ru/secu...
http://yii.internetsite.com.ua/blog/rbac#использов...