6

Voter を使用して、所有者のみがアプリケーションでプロジェクト オブジェクトを編集できるようにしたいと考えています。

アクション ProjectController.editAction(Project $project) を呼び出すルート /project/42/edit があります。タイプ ヒント (Project $project) を使用して ParamConverter を自動的に呼び出し、ID 42 を URI からプロジェクト オブジェクトに変換します。これはコントローラーのアクションではうまく機能しますが、投票者にとっては起動が遅すぎるようです。そのvote（）メソッドは、私のプロジェクトではなく、リクエストを2番目のパラメータとして呼び出されます。

データベースからプロジェクトを再度取得することなく、投票者にプロジェクトを渡す方法はありますか?

更新: edit メソッドのセキュリティ コンテキストで isGranted() を手動で呼び出す必要があることを知りました。これは、この回答へのアプローチに非常に似ています。

これが私の有権者です：

namespace FUxCon2013\ProjectsBundle\Security;

use FUxCon2013\ProjectsBundle\Entity\Project;
use Symfony\Component\BrowserKit\Request;
use Symfony\Component\DependencyInjection\ContainerInterface;
use Symfony\Component\Security\Core\Authorization\Voter\VoterInterface;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;

class OwnerVoter implements VoterInterface
{
    public function __construct(ContainerInterface $container)
    {
        $this->container     = $container;
    }

    public function supportsAttribute($attribute)
    {
        return $attribute == 'MAY_EDIT';
    }

    public function supportsClass($class)
    {
        // your voter supports all type of token classes, so return true
        return true;
    }

    function vote(TokenInterface $token, $object, array $attributes)
    {
        if (!in_array('MAY_EDIT', $attributes)) {
            return self::ACCESS_ABSTAIN;
        }
        if (!($object instanceof Project)) {
            return self::ACCESS_ABSTAIN;
        }

        $user = $token->getUser();
        $securityContext = $this->container->get('security.context');

        return $securityContext->isGranted('IS_AUTHENTICATED_FULLY')
            && $user->getId() == $object->getUser()->getId()
            ? self::ACCESS_GRANTED
            : self::ACCESS_DENIED;
    }
}

これを configure.yml に登録して、サービス コンテナーをパラメーターとして取得します。

services:
    fuxcon2013.security.owner_voter:
        class:      FUxCon2013\ProjectsBundle\Security\OwnerVoter
        public:     false
        arguments: [ @service_container ]
        tags:
            - { name: security.voter }

最後のブロックは、security.yml のアクセス決定マネージャーを全会一致に構成することです。

security:
    access_decision_manager:
        # strategy can be: affirmative, unanimous or consensus
        strategy: unanimous
        allow_if_all_abstain: true
4

2 に答える 2

1

私が昨日書いたこの答えを見てください。

オブジェクトの所有者を確認することで、ニーズに合わせて簡単に調整できます。

于 2013-06-13T16:27:54.797 に答える