...

суббота, 23 ноября 2013 г.

[Из песочницы] Еще раз о Security в Symfony2 подход user-resource-privilege

Не так давно взялся за Symfony2. Не смотря на то, что до этого имел достаточно богатый опыт общения с Zend1, барьер входа для меня оказался высоким. Вдоволь начитавшись у меня начало что-то получаться. Наибольшие затруднения вызвал вопрос разграничения прав доступа. Практически все мои поиски выводили меня на FOSUserBundle или обрывки информации о том, как можно расширить функционал модуля Security из стандартной поставки фреймворка. Каких-либо преимуществ для себя в громоздком FOSUserBundle я не обнаружил. Поэтому эта статья будет о том, как я допиливал Symfony2 Security под свои нужды. Цель была следующая: symfony2 + security + разграничение прав доступа на уровне объекта в зависимости от роли пользователя. В этой статье не будет ничего про наследование ролей и кумулятивные привилегии, информацию о которых вы, без труда, найдете сами. Схема прав в моем проекте: запрещено все, что не разрешено. Один пользователь имеет строго одну роль. Роль имеет доступ к различным ресурсам с различным набором привилегий. Разные роли могут иметь доступ к одним и тем же ресурсам с разными или равными наборами привилегий. Я не буду пытаться сделать код максимально абстрактным, а просто буду использовать фрагменты из своего проекта, связанные с функциональностью заказ-нарядов на обслуживание техники.



Итак, к делу. У нас есть правильно настроенный проект, в нем создан BackendWorkorderBundle, настроены все роутеры и фаерволы. Т.е. есть все, за исключением прав доступа. Включая аутификацию. Для проектирование БД использовался инструмент MySQL Workbench. Отличная штука. Есть версия под Linux. Структура таблиц выглядит так:

-- -----------------------------------------------------
-- Table `backend_role`
-- -----------------------------------------------------
CREATE TABLE IF NOT EXISTS `backend_role` (
`role_id` INT NOT NULL AUTO_INCREMENT,
`name` VARCHAR(45) NULL,
`description` VARCHAR(45) NULL,
PRIMARY KEY (`role_id`))
ENGINE = InnoDB;


-- -----------------------------------------------------
-- Table `backend_user`
-- -----------------------------------------------------
CREATE TABLE IF NOT EXISTS `backend_user` (
`user_id` INT NOT NULL AUTO_INCREMENT,
`role_id` INT NOT NULL,
`firstname` VARCHAR(45) NULL,
`lastname` VARCHAR(45) NULL,
`printname` VARCHAR(45) NULL,
`username` VARCHAR(45) NULL,
`salt` VARCHAR(255) NULL,
`password` VARCHAR(255) NULL,
`created` DATETIME NULL,
`updated` DATETIME NULL,
`last_login` DATETIME NULL,
`is_active` TINYINT(1) NULL,
PRIMARY KEY (`user_id`),
INDEX `fk_backend_user_backend_role1_idx` (`role_id` ASC),
CONSTRAINT `fk_backend_user_backend_role1`
FOREIGN KEY (`role_id`)
REFERENCES `parts`.`backend_role` (`role_id`)
ON DELETE NO ACTION
ON UPDATE NO ACTION)
ENGINE = InnoDB;


-- -----------------------------------------------------
-- Table `backend_rule`
-- -----------------------------------------------------
CREATE TABLE IF NOT EXISTS `backend_rule` (
`rule_id` INT NOT NULL AUTO_INCREMENT,
`role_id` INT NOT NULL,
`resource_id` VARCHAR(255) NULL,
`privileges` TEXT NULL,
PRIMARY KEY (`rule_id`),
INDEX `fk_backend_rule_backend_role1_idx` (`role_id` ASC),
CONSTRAINT `fk_backend_rule_backend_role1`
FOREIGN KEY (`role_id`)
REFERENCES `parts`.`backend_role` (`role_id`)
ON DELETE NO ACTION
ON UPDATE NO ACTION)
ENGINE = InnoDB;




Проверять наличие привилегий можно двумя способами:

1. Из twig is_granted('[наименование привилегии]', [объект])

2. Из контроллера $this->get('security.context')->isGranted('[наименование привилегии]', [объект])

Второй аргумент не обязателен, но необходим для целей моего проекта (станет понятно чуть ниже в коде voter'а). Напоминаю, что исключение объекта из html страницы не отменяет проверку данных в контроллере.

Код voter'a. Забыл упомянуть, что в проекте есть есть еще один бандл BackendCoreBundle, которые вбирает в себя наиболее общие функции для всего Backend'a. Подробнее о voter'ах можно почитать здесь.



<?php
// /src/Backend/CoreBundle/Security/Authorization/Voter/PrivilegeVoter.php

namespace Backend\CoreBundle\Security\Authorization\Voter;

use Symfony\Component\DependencyInjection\ContainerInterface;
use Symfony\Component\Security\Core\Authorization\Voter\VoterInterface;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;

class PrivilegeVoter implements VoterInterface
{
public function supportsAttribute($attribute)
{
return true;
}

public function supportsClass($class)
{
return in_array($class, array(
'Backend\WorkorderBundle\Entity\Workorder'
));
}

public function vote(TokenInterface $token, $object, array $attributes)
{
//применим ли voter к объекту определенного класса.
//необходимо так как наш вотер будет опрашиваться во всех случаях контроля привилегий.
if ( !($this->supportsClass(get_class($object))) ) {
return VoterInterface::ACCESS_ABSTAIN;
}

foreach ($attributes as $attribute) { //необходимо адаптировать функцию под ваши нужды
if ( !$this->supportsAttribute($attribute) ) {
return VoterInterface::ACCESS_ABSTAIN;
}
}

//магия творится здесь
$user = $token->getUser();
$privileges = $user->getPrivileges();
$resourceId = $object->getResourceId();

$acess_granted = false;
foreach ($attributes as $attribute) {
if (isset($privileges[$resourceId])) {
$resource_privileges = $privileges[$resourceId];
if (in_array($attribute, $resource_privileges)) {
$acess_granted = true;
} else {
$acess_granted = false;
break;
}
}
}

if ($acess_granted)
return VoterInterface::ACCESS_GRANTED;

return VoterInterface::ACCESS_DENIED;
}
}


Фунция getPrivileges для user объявлена в объекте doctrine, связанном с таблицей backend_user



<?php
///src/Backend/CoreBundle/Entity/BackendUser.php

namespace Backend\CoreBundle\Entity;

use Doctrine\ORM\Mapping as ORM;
use Symfony\Component\Security\Core\User\AdvancedUserInterface;

/**
* BackendUser
*
* @ORM\Table(name="backend_user")
* @ORM\Entity
*/
class BackendUser implements AdvancedUserInterface, \Serializable
{
..
public function getPrivileges()
{
//цепочка выглядит так: backend_user->backend_role->backend_rule
//функция $rule->getPrivileges() возвращает значение поля privileges таблицы backend_rule
//то есть текущая функция возвращает массив ключами которого являеются resource_id,
//а элементами массивы привилений для доступа к этому ресурсу (хранятся через запятую)

$rules = $this->getRole()->getRules();
$result = array();
foreach ($rules as $rule){
$result[$rule->getResourceId()] = explode(",", $rule->getPrivileges());
}
return $result;
}
..
}


Регистрируем voter в /app/config/security.yml



services:
security.access.privilege_voter:
class: Backend\CoreBundle\Security\Authorization\Voter\PrivilegeVoter
public: false
tags:
- { name: security.voter }




Вы, наверное, обратили внимание, что в функции vote вызывается $object->getResourceId(). Выглядит метод следующим образом

<?php
// /src/Backend/WorkorderBundle/Entity/Workorder.php
namespace Backend\WorkorderBundle\Entity;
use Doctrine\Common\Collections\ArrayCollection;

use Doctrine\ORM\Mapping as ORM;

/**
* Workorder
*
* @ORM\Table(name="workorder")
* @ORM\Entity
*/
class Workorder
{
..
public function getResourceId()
{
//функция добавлена для гибкости и в текущий момент возвращает имя класса
//В данном случае Backend\WorkorderBundle\Entity\Workorder
return get_class($this);
}
..
}


That's it! Критика, как обычно, привествуется, если кто-то может указать на недостатвки этого подхода и возможные проблемы при масштабировании — был бы очень рад.


This entry passed through the Full-Text RSS service — if this is your content and you're reading it on someone else's site, please read the FAQ at fivefilters.org/content-only/faq.php#publishers.


Комментариев нет:

Отправить комментарий