用户只能查看他们的数据

Question

我想创建一个声明以确保用户只能查看他们自己的 call_center 数据，除非他们的 role_id 是 2、3 或 4。截至目前，如果 URL 是 Venture.local/?call_center=77 并且用户更改了 URL到 Venture.local/?call_center=22 任何人 role_id 都可以看到其他 call_center 数据。我希望页面返回给用户自己的 call_center，除非他们的 role_id 是 2、3 或 4。我不确定使这项工作的最佳速度是使用 JavaScript 还是我的dashboardcontroller.php？我已经包含了我的控制器，因为我认为我可以做这样的事情： if($role_id['id'] != '2' || $role_id['id'] != '3' || $role_id['id'] != '4')        {        $pending->where($call_center, '=', $user_id);        $active->where($call_center, '=', $user_id);        $cancelled_contracts->where($call_center, '=', $user_id);        $late_contracts->where($call_center, '=', $user_id);        $back_out_contracts->where($call_center, '=', $user_id);        $pending_late->where($call_center, '=', $user_id);        $pending_cancellation->where($call_center, '=', $user_id);        }我在正确的方向吗？或者有人可以指导我朝着正确的方向前进吗？任何帮助表示赞赏。

Answer 1

在您的 User 模型中，如果您还没有将角色设置为关系，您可以执行以下操作：

public function roles()

{

    return $this->belongsToMany('App\Role');

}

public function hasRole($roleName) : bool

{

    // you could always change this function so it could take

    // an array of role IDs instead of the name

    $roles = $this->roles()->where('name', roleName)->firstOrFail();

    if ($roles) {

        return true;

    }

    return false;

}

在您的呼叫中心模型中，您可以设置如下功能：

public function canBeViewedBy(User $user) : bool

{

    // customise role name to whichever roles you want

    if ($user->hasRole('canViewAllCentres') {

        return true;

    }

    // you can add additional custom logic here

    return false;

}

然后在您的 Dashboard 控制器中的函数中：

if (!$call_center->canBeViewedBy(Auth::user()) {

    return abort(403, 'Forbidden');

}

Answer 2

首先，停止在 URL 中传递数据。如果可能，请在用户登录时使用会话来处理此问题。

如果您不喜欢上述方法，那么您可以为此使用加密/解密。永远不要在 URL 中传递像 22 或 33 这样的原始数字。不要让最终用户感到好奇。

use Illuminate\Support\Facades\Crypt;

$encrypted = Crypt::encryptString('123');

$decrypted = Crypt::decryptString($encrypted);

此外，您可以阅读 Laravel 授权文档，它对您面临的确切问题很有用。