我正在为我的网站使用 CakePhp3，当我创建或修改实体时，我必须根据当前用户 ID 注入(inject)一些自定义验证逻辑。

基本情况是“用户是否允许将此字段更改为这个新值”？如果不是，我想提出验证错误(或未经授权的异常)。

在 cakephp 中，据我所知，大多数应用程序和业务规则必须放在模型或 ORM 的“模型表”上。但是，在此类中，AuthComponent 或当前 session 不可用。

我不想每次需要检查时都从 Controller 手动调用实体上的方法。我想使用验证器，例如:

$validator->add('protected_data', 'valid', [
            'rule' => 'canChangeProtectedData',
            'message' => __('You're not able to change this data !'),
            'provider' => 'table',
        ]);

模型表上的方法:

public function canChangeProtectedData($value, array $context)
{
    \Cake\Log\Log::debug("canChangeProtectedData");
    // Find logged user, look at the new value, check if he is authorized to do that, return true/false
    return false;
}

我的 cakephp < 3，authcomponent="" 有一个不再可用的静态方法="" 'authcomponent::user()'。那么，我如何在="" cakephp="" 3="" 中做到这一点？="">

感谢您的任何回复。

编辑 - 添加更多细节

所以这里有更多的细节。如果是 REST API。我有实体的编辑功能。 “文章”实体。

这篇文章的所有者在名为“user_id”的列上有一个外键(这里没有什么特别的)。我的用户被组织成组，组中有一个组长。组长可以更改文章的所有者，但“基本”用户不能这样做(但他们可以编辑自己的文章)。管理员用户可以编辑所有内容。 因此编辑方法必须可用于任何经过身份验证的用户，但必须允许更改实体的“user_id”并根据情况进行检查(如果我是管理员是，如果我是领导者是只有当新 ID 是一个我的组，如果我是基本用户则否)。

我可以在 Controller 上执行此检查，但如果我希望在修改文章的代码中的任何地方检查此规则(使用不同于 ArticlesController 的“编辑”的另一种方法)。所以对我来说，Model 似乎是放置它的好地方？

最佳答案

认证与授权

• 身份验证是指通过凭据识别用户，大多数情况下归结为“用户是否登录”。
• 授权表示检查用户是否被允许执行特定操作

所以不要混淆这两者。

你不需要验证你想要应用程序规则

摘自本书:

Validation vs. Application Rules

The CakePHP ORM is unique in that it uses a two-layered approach to validation.

The first layer is validation. Validation rules are intended to operate in a stateless way. They are best leveraged to ensure that the shape, data types and format of data is correct.

The second layer is application rules. Application rules are best leveraged to check stateful properties of your entities. For example, validation rules could ensure that an email address is valid, while an application rule could ensure that the email address is unique.

您要实现的是复杂的应用程序逻辑，而不仅仅是简单的验证，因此最好的实现方式是作为应用程序规则。

我从我的一篇解释类似案例的文章中摘录了一段代码。我必须检查可以与模型相关联的语言(翻译)的限制。您可以在这里阅读整篇文章 http://florian-kraemer.net/2016/08/complex-application-rules-in-cakephp3/

<?php
namespace App\Model\Rule;

use Cake\Datasource\EntityInterface;
use Cake\ORM\TableRegistry;
use RuntimeException;

class ProfileLanguageLimitRule {

   /**
    * Performs the check
    *
    * @link http://php.net/manual/en/language.oop5.magic.php
    * @param \Cake\Datasource\EntityInterface $entity Entity.
    * @param array $options Options.
    * @return bool
    */
   public function __invoke(EntityInterface $entity, array $options) {
      if (!isset($entity->profile_constraint->amount_of_languages)) {
         if (!isset($entity->profile_constraint_id)) {
            throw new RuntimeException('Profile Constraint ID is missing!');
         }
         $languageLimit = $this->_getConstraintFromDB($entity);
      } else {
         $languageLimit = $entity->profile_constraint->amount_of_languages;
      }

      // Unlimited languages are represented by -1
      if ($languageLimit === -1) {
         return true;
      }

      // -1 Here because the language_id of the profiles table already counts as one language
      // So it's always -1 of the constraint value
      $count = count($entity->languages);
      return $count <= ($languageLimit - 1);
   }

   /**
    * Gets the limitation from the ProfileConstraints Table object.
    *
    * @param \Cake\Datasource\EntityInterface $entity Entity.
    * @return int
    */
   protected function _getConstraintFromDB(EntityInterface $entity) {
      $constraintsTable = TableRegistry::get('ProfileConstraints');
      $constraint = $constraintsTable->find()
         ->where([
            'id' => $entity['profile_constraint_id']
         ])
         ->select([
            'amount_of_languages'
         ])
         ->firstOrFail();

      return $constraint->amount_of_languages;
   }

}

我认为这是不言自明的。确保您的实体 user_id 字段对于“公众”是不可访问的。在保存数据之前，在修补之后添加它:

$entity->set('user_id', $this->Auth->user('id'));

如果您更改上述代码段并将 profile_constraint_id 更改为 user_id 或您拥有的任何其他内容，这应该可以为您完成工作。

您真正想要的是基于行/字段级别的授权

我想您可以为此使用 ACL，但我从来没有需要基于字段的 ACL。所以我不能给你太多的意见，但它是 (Cake2) 并且仍然是 (Cake3) 可能的。对于 Cake3，ACL 内容已移动 to a plugin .从技术上讲，可以检查任何内容、数据库字段、行等等。

您可以编写一个使用 Model.beforeMarshal 事件的行为，并检查 user_id(或角色，或其他)是否存在且不为空，然后检查您想要的所有字段使用 ACL 给定用户 ID 或用户角色。

您可能会使用 this method PermissionsTable::check()或者您可以编写一个更专用的方法同时检查多个对象(字段)。就像我说的，如果您愿意的话，您会花一些时间来找出使用 ACL 的最佳方法。

UX 和另一种廉价的解决方案

首先，我将不显示所有字段，不允许用户更改或输入作为输入。如果您需要显示它们，很好，禁用表单输入或仅将其显示为文本。然后使用一组常规验证规则，要求该字段为空(或不存在)或清空基于您的用户角色的字段列表。如果您不显示这些字段，用户将不得不调整表单，然后也无法通过 CSRF 检查(如果使用)。

关于php - Cakephp 3 - 如何在验证过程中检索 'Table' 类中的当前登录用户？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/31783066/