Skip to main content

Ролевая модель и права доступа в АП

Текущая реализация ролевой модели и прав доступа позволяет создавать неограниченное число ролей, назначать им любые права доступа и привязывать произвольный набор ролей к пользователю. Для этого в административной панели предусмотрен конструктор прав доступа при создании/редактировании роли.

Как работают права доступа​

На бэкенде​

Набор возможных прав доступа хранится в enum в units/admin-auth. Затем используется симбиоз из Laravel features: Policies, Gates, Middleware в admin-gui-backend:

  1. Связь прав с методами (эндпоинтами) хранится в политиках
  2. Метод в политике описывает права на доступ к аналогичному (по неймингу) методу в контроллере
  3. 1 политика – 1 контроллер
  4. Через фасад Gate проверяется политика в Middleware при запросе API
  5. В зависимости от выполнения условия описанного в методе политики для этого контроллера@метода API – доступ либо предоставляется, либо выбрасывается 403 ошибка

Автоматический поиск политик работает по такому принципу:

Gate::guessPolicyNamesUsing(
    fn ($className) => str_replace('Controllers', 'Policies', $className) . 'Policy'
);

На фронте​

Для фронта справочник прав доступа возращается методом: GET /api/v1/units/admin-users/right-access. Фронт сравнивает набор прав доступа текущего пользователя со справочником, исходя из этого допускает пользователя к тем или иным действиям.

Добавление прав доступа​

Сначала нужно добавить новые права в rights_access_enum.yaml:

  description: |
    * `9xx` Для информационных страниц:
    * `901` - Пользователю доступен табличный список с информационными страницами
    * `902` - Пользователю доступна детальная страница информационной страницы
  enum:
    - 901
    - 902
  x-enum-varnames:
    - PAGE_LIST_READ
    - PAGE_DETAIL_READ
  x-enum-descriptions:
    - Пользователю доступен табличный список с информационными страницами
    - Пользователю доступна детальная страница информационной страницы

Этот же enum необходимо будет продублировать в admin-gui-backend в units_admin_user_role_rights_access_enum.yaml.

Затем в справочнике RightsAccess:

  1. Создать константу с названием раздела, в контексте которого будут выдаваться права.
  2. Добавить метод возвращающий массив новых прав доступа.
  3. В методе all() добавить в результирующий массив новый раздел и его права доступа по аналогии:
    public static function all(): array
    {
        return [
            ['section' => self::PAGES, 'items' => self::pages()],
        ];
    }

    public static function pages(): array
    {
        return [
            new static(
                RightsAccessEnum::PAGE_LIST_READ,
                'Пользователю доступен табличный список с информационными страницами'
            ),
        ];
    }

На этом этапе, после генерации клиента сервиса units/admin-auth права считаются добавленными, но еще никак не используются. Чтобы была возможность их использовать, т.е ограничивать доступ к методам, необходимо прописать политики прав доступа в admin-gui-backend.

Использование прав доступа​

  1. Создать новую политику {controller_name}Policy.php для контроллера, методы которого необходимо ограничить:
├── Orders
│   ├── Controllers
│   │   ├── BasketsCommon
│   │   ├── OmsCommon
│   │   ├── Orders
│   │   └── Refunds
│   │       └── RefundsController.php
│   ├── Policies
│   │   ├── BasketsCommon
│   │   ├── OmsCommon
│   │   ├── Orders
│   │   └── Refunds
│   │       └── RefundsControllerPolicy.php
│   ├── Queries
│   ├── Requests
│   ├── Resources
│   └── Tests
  1. В политике объявить метод с названием анологичным закрываемому методу контроллера, который будет возвращать объект Illuminate\Auth\Access\Response.
  2. Проверить через кастомные методы модели пользователя allowOneOf() или allowAllOf() наличие необходимых прав:
use App\Domain\Auth\Models\User;
use Ensi\AdminAuthClient\Dto\RightsAccessEnum;
use Illuminate\Auth\Access\HandlesAuthorization;
use Illuminate\Auth\Access\Response;

class RefundsControllerPolicy
{
    use HandlesAuthorization;

    public function create(User $user): Response
    {
        return $user->allowOneOf([
            RightsAccessEnum::ORDER_DETAIL_REFUND_CREATE,
        ]);
    }
}
  • allowOneOf() - если пользователю достаточно иметь хотя бы одно право из переданного набора
  • allowAllOf() - если пользователю необходимо иметь все права из переданного набора

Выдача прав доступа​

После добавления новых прав доступа необходимо реализовать их автоматическую выдачу администратору. Для этого необходимо использовать миграции, пример можно посмотреть здесь.