Laravel 7：如何限制用户的URL？

Question

我是一个正在学习Laravel 7的新手。我已经开发了一个使用Laravel 7的小型Web应用程序。但是今天我注意到了一个问题。所有URL都是全局的，这意味着所有用户都可以访问我网站的所有URL。假设用户一个创建的数据，并在每个行中存在编辑和删除按钮的表中显示。编辑URL就像：localhost/Records/Records/Edit/5。问题是，其他登录的用户也可以访问此编辑页面。这样，所有登录的用户都可以访问所有URL，这非常糟糕。 我希望你明白我在说什么。我有将近250个以上的网络路线。有什么简单的限制路线的方法吗？ 用户只能访问自己的数据。我该怎么做？ 谢谢

Answer 1

您必须注册策略，并确保未经正确的授权，用户无法访问网站的一部分。

请参阅 docs 关于如何制定政策和实施它们。

示例代码：

策略：

class RecordPolicy 
{
    public function delete(User $user, Record $record)
    {
        return $user->id === $record->user_id;
    }
}

控制器

class RecordController
{
    public function destroy(Record $record)
    {
        // Authorize the delete action before actually deleting the record
        $this->authorize('delete', $record);

        $record->delete();
    }
}

记录索引

@foreach($records as $record)
    <div> 
        {{ $record->name }}

        {{-- Only show delete button if the authorized user can actually delete the record --}}
        @can('delete', $record)
            <form action="{{ route('records.destroy', compact('record') }}" method="POST">
                @csrf
                @method('DELETE')
                <button type="submit">Delete record</button>
            </form>
        @endcan
    </div>
@endforeach

Answer 2

1. 添加新记录＆gt;添加create_by
2. 在用户运行URL＆gt; gt; gt; gt; gt; gt;从会话中获取登录的用户user_id，然后在数据库中检查其记录＆gt;如果找不到记录，则将消息重定向到主页，否则会继续。

Answer 3

如果我正确理解您，您想将路由限制为特定用户。

1. 创建角色表

Columns (id, name) 

(1 = Super Admin, 2 = Admin, 3 = User)

2. 在创建新用户时为用户分配角色
   IE将角色_ID添加到用户表中。

$user = User::create([
  'name' => 'First Admin',
  'email' => '[email protected]',
  'password' => Hash::make('Admin@1234'),
  'role_id'  => 2 // For admin role
]);

3. 然后为每个角色创建中间Wares，并为特定用户限制路线。

管理中间件：adminmiddleware.php

public function handle(Request $request, Closure $next)
    {
        $allowedRoles = [2];
        if (!in_array(Auth::user()->role_id, $allowedRoles))
            {
                return redirect()->back()->with('error',__('Sorry, you are not authorized to access that location.'));
            }
        return $next($request);
    }

in kernel.php

'admin' => \App\Http\Middleware\AdminMiddleware::class,

Route::group(['middleware' => 'admin'], function(){
   // All admin Routes
});

您也可以使用spatie软件包

。 /middleware“ rel =” nofollow noreferrer“> https://spatie.be/docs/laravel-permission/v5/basic-usage/middleware

只需检查角色是否允许使用该路线：

Route::group(['middleware' => ['auth', 'role:admin']], function () {
    // All routes available for admin
});