Где можно найти нормальную реализацию контроля авторизованного?

Question

[QNA-1976]

Ну на процедурке я могу запилить функцию редиректа и запихнуть её в каждый модуль-страницу, то есть я заранее знаю, какая страница для авторизованного, а какая - нет.
Полазилв сети, что нахожу? Нахожу реализацию авторизации в ОДНОМ ВИДЕ, где форма авторизации при чеке токена сменяется на якобы зону авторизованного путём редиректа на саму себя: то есть примерно так

if ($token) {
    // типа сайт для авторизованного
} else {
    // форма авторизации
}

Не устраивает, может кто-то знает, где грамотную реализацию посмотреть, чтобы закрыть страницы от доступа в зависимости от того авторизован или нет пользун?

Ну у меня на что хватает фантазии, так это в базовом контроллере проверять, если авторизован и текущий контролер стартовый, то редиректить в домашний контроллер и наоборот если неавторизован и текущий контроллер НЕ стартовый, то редиректить в стартовый )))

Comments

[Дмитрий]

Ну обычно проверяют сессию
Если сессии нет, то редирект на авторизацию, если есть, то писать что уже авторизация прошла, и можно шататься по сайту

Answer 1

[Антон Шаманов]

Конкретные реализации RBAC, ACL, которые ты ищешь, привязаны к архитектуре приложений/фреймворков т.ч. придется писать самому по большей части.

Comments

[QNA-1976]

а есть, где по простому посмотреть, как реализовано: юзер авторизован, но почему-то хочет перейти на страницу авторизации, как проверки производятся

или юзер неавторизован, а прётся в личный кабинет, например
или юзер закрыл браузер и открыл, а он авторизован
или очистил браузер и обновил страницу

вот такое посмотреть, есть ли общепринятые методы или мне тупо писать

if (!$this->user and $this->controller != 'Main') $this->redirect('/'); // Main у нас пустая страница, то есть /

[Антон Шаманов]

QNA-1976, там достаточно много классов чтобы показать "по простому":
авторизация
аутентификация
модели таблиц бд
контроллер страницы авторизации
базовый контроллер или "middlewe" с авторизацией/аутентификацией

[Антон Шаманов]

QNA-1976,

abstract class AuthController
{
    // [] фронтенд, ['logged'] закрытый фронтенд,  ['logged', 'admin'] бэкенд
    protected $authRoles = [];

    protected function checkAuth()
    {
        $auth = Auth::instance($_SESSION ?? []);
        if (! $auth->getUser()) {
            throw new HttpException(null, 401);
        }
        if (! $auth->loggedIn($this->authRoles)) {
            throw new HttpException(null, 403);
        }
    }
}

[QNA-1976]

Антон Шаманов, ну я понял: Вы пользователя просто ошибками закидываете, если он не там, где нужно, а на страницах ошибок я так понимаю ссылки ведущие куда-то в зависимости от того, авторизован ли пользователь )))

или Вы в зависимости от кода ошибки редиректы ещё где-то производите?

[QNA-1976]

Антон Шаманов, ну вот я неавторизован и делаю проверку

if (! $auth->getUser()) {
            throw new HttpException(null, 401);
        }

ну и что дальше, я вечно в 401 ошибке буду находиться?

[Антон Шаманов]

QNA-1976, неверно написал - это контроллер для закрытых страниц
abstract class AuthController extends Controller

[Антон Шаманов]

QNA-1976, это считается плохой практикой т.к. сбивает пользователя с толку и если у Вас не 2 роли, то и сбивает с толку - куда отправлять 'logged' пользователя если он не 'admin'?

[QNA-1976]

Антон Шаманов,

abstract class AuthController extends Controller

у меня вот так

abstract class AppController extends Controller

и дальше

class ЛюбойController extends AppController

не очень понял куда мне AuthController прописывать, ведь у меня от AppController наследуются контроллеры не только для авторизованных, а все, так как в нём общий функционал

[QNA-1976]

Антон Шаманов,

если у Вас не 2 роли, то и сбивает с толку - куда отправлять 'logged' пользователя если он не 'admin'

у меня нет ролей, у меня админ - первый, кто зарегался, то есть id = 1 и будет админ, какая разница буду я проверять что админ - это юзер с записью admin в БД или я проверю, что админ - это юзер с записью id = 1 в БД

[Антон Шаманов]

QNA-1976, запомни отрок: аутентификация - проверка логин\пароля, авторизация - проверка прав.

[QNA-1976]

Антон Шаманов, ну я тут разницы не вижу

if ($user['role'] == 'admin') echo 'Админ';
if ($user['id'] == 1) echo 'Админ'; // естественно владелец регается первый зная о том, что админ - это id = 1

[Антон Шаманов]

QNA-1976,

class AuthController extends AppController {}
class PageController extends AppController {}
class BackendPageController extends AuthController {}

[Антон Шаманов]

QNA-1976, потому что невнимательно смотришь

// [] фронтенд, ['logged'] закрытый фронтенд,  ['logged', 'admin'] бэкенд
protected $authRoles = [];

[Антон Шаманов]

QNA-1976, может так будет понятнее Где можно посмотреть структуру базы данных для реализации RBAC и ABAC?

[QNA-1976]

Антон Шаманов, я понял схему Вашу: проверку авторизованного прикрутили, как я понимаю к странице логина-регистрации-забыл пароль (стартовая)

теперь кидаем юзера на сайт, если авторизован

теперь юзер очистил браузер и обновляет страницу, он неавторизован, как его универсально заредиректить с любой страницы на на стартовую?

типа NoAuthController запилить? )))

ну так мы с Вами вернулись к моему способу, который я в вопросе описал

практически вроде то же самое

private function authRedirect()
    {
        if ($this->controller == 'Main') {
            $this->alertRedirect('success', 'Добро пожаловать', '/menu');
        }
    }

    private function noAuthRedirect()
    {
        if ($this->controller != 'Main') {
            $this->alertRedirect('danger', 'Всего доброго', '/');
        }
    }

if ($this->checkSessionId()) {
            $this->authRedirect();
        } else {
            $this->noAuthRedirect();
        }

[Антон Шаманов]

я понял схему Вашу: проверку авторизованного прикрутили, как я понимаю к странице логина-регистрации-забыл пароль (стартовая)

ничего ты не понял джуниор сноу

[QNA-1976]

Антон Шаманов, хорошо, тогда поясните

class AuthController extends AppController {}
class PageController extends AppController {}
class BackendPageController extends AuthController {}

где тут контроль авторизованного на странице PageController?

[Антон Шаманов]

QNA-1976, сорян, но это выше моих сил