Как правильно передавать разрешения с токеном в API?

Question

[Dos]

Использую бандл https://github.com/trikoder/oauth2-bundle над библиотекой https://github.com/thephpleague/oauth2-server. У себя в проекте использую такие разрешения

role_hierarchy:
    ROLE_ADMIN:
      - ROLE_USER
      - ROLE_MANAGE_USERS
      - ROLE_MANAGE_CRM

В контроллерах использую @IsGranted("ROLE_MANAGE_USERS").

Но теперь мне надо эти разрешения передавать во Frontend, чтобы отобразить ту или иную функциональность. В библиотеке для этого используются scopes, но что-то не очень понял как их использовать. Может быть я не правильным путём пошел? Первый раз это делаю, поэтому не понимаю. Ещё говорили что в JWT есть playload и можно выдать вместе с токеном разрешения. Но опять же не знаю как поступить в моём случае.

Кто-то пользовался этой библиотекой? Кто знает как это сделать?

Comments

[develop1]

Но теперь мне надо эти разрешения передавать во Frontend, чтобы отобразить ту или иную функциональность.

Почему нельзя на бэкенде проверять роль пользователя и сделать те или иные маршруты доступными для пользователя с определенной ролью?

[Dos]

develop1, именно это я и хочу понять как лучше сделать. Я так пониманию, что нужно бакенду возвращать список разрешений: views-posts, manage-posts, manage-crm. Если такие разрешения есть, то показываем кнопку: CRM на боковом меню.

Answer 1

[Илья Зябиров]

Если у Вас API + отдельный фронт - то мало смысла явно передавать на фронт разрешения. Вам достаточно будет при запросе ресурса получать текущего пользователя по токену, проверять его права и отдавать 403 (или 401, если пользователь не предоставил токен вовсе), если их недостаточно для доступа к ресурсу.
В свою очередь на фронте Вы будете обрабатывать код ответа и выводить на экран то, что нужно.

Comments

[Dos]

С этим проблем нет. Но как скрыть кнопку редактирования, например, если нет прав на редактирование?

[Илья Зябиров]

pro-dev, можно в теле ответа передавать bool-параметр. Например, у вас есть пост, и редактировать его может только автор. В таком случае просто к телу ответа добавьте поле isMine и в зависимости от него выводите кнопку. Как вариант