7

如何在创建时自动将当前授权的用户添加到资源中（POST）。

我正在使用 JWT 身份验证，并且 /api/ 路由受到未经授权的用户的保护。我想设置它，以便当经过身份验证的用户创建新资源（即通过向 发送POST请求/api/articles）时，新创建的Article资源与经过身份验证的用户相关。

我目前正在使用自定义的EventSubscriber每种资源类型从令牌存储中添加用户。

这是订阅者基类的要点： https ://gist.github.com/dsuurlant/5988f90e757b41454ce52050fd502273

以及扩展它的实体订阅者： https ://gist.github.com/dsuurlant/a8af7e6922679f45b818ec4ddad36286

但是，例如，如果实体构造函数需要用户作为参数，这将不起作用。

例如

class Book {

    public User $owner;
    public string $name;

    public class __construct(User $user, string $name) {
        $this->owner = $user;
        $this->name  = $name;
    }
}

如何在实体创建时自动注入授权用户？

4

2 回答 2

0

正如@nealio82 和@lavb 所说，你应该看看 Gedmo\Blameable ，它可以帮助你处理属性，createdBy或者updatedBy你可以在哪里存储User创建资源的人。

Blameable StofDoctrineExtensionsBundle

然后要处理访问权限，请查看 Voters，这对于处理安全性和不同的访问权限非常有用。

关于选民的官方 Symfony 文档

例如

图书实体

...
use Gedmo\Mapping\Annotation as Gedmo;

class Book {

    ...

    /**
     * @var string $createdBy
     *
     * @Gedmo\Blameable(on="create")
     * @ORM\Column
     */
    public User $owner;

    public function getOwner() {
        return $this->owner;
    }

    public function setOwner(User $owner) {
        $this->owner = $owner
    }
}

src/Security/Voter/BookVoter

namespace App\Security;

use App\Entity\Book;
use App\Entity\User;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Authorization\Voter\Voter;

class BookVoter extends Voter
{
    const VIEW = 'view';
    const EDIT = 'edit';

    protected function supports(string $attribute, $subject)
    {
        // if the attribute isn't one we support, return false
        if (!in_array($attribute, [self::VIEW, self::EDIT])) {
            return false;
        }

        // only vote on `Book` objects
        if (!$subject instanceof Book) {
            return false;
        }

        return true;
    }

    protected function voteOnAttribute(string $attribute, $subject, TokenInterface $token) {
        $user = $token->getUser();

        if (!$user instanceof User) {
            // the user must be logged in; if not, deny access
            return false;
        }

        /** @var Book $book */
        $book = $subject;

        switch ($attribute) {
            case self::VIEW:
                return $this->canView($book, $user);
            case self::EDIT:
                return $this->canEdit($book, $user);
        }

        throw new \LogicException('This code should not be reached!');
    }

    private function canEdit(Book $book, User $user) {
        // ONLY OWNER CAN EDIT BOOK
        return $user === $book->getOwner();
    }

    private function canView(Book $book, User $user) {
        // DIFFERENT LOGIC ?
        return $user === $book->getOwner();
    }

    ...

}
于 2020-06-13T16:46:37.470 回答
0

目前，我正在使用DTO 和数据转换器。

主要缺点是必须为需要此行为的每个资源创建一个新的 DTO。

作为一个简单的例子，我正在做这样的事情：

class BootDtoTransformer implements DataTransformerInterface
{

    private Security $security;

    public function __construct(Security $security)
    {
        $this->security = $security;
    }

    public function transform($data, string $to, array $context = [])
    {

        $owner = $this->security->getUser();

        return $new Book($owner, $data->name);;
    }

    public function supportsTransformation($data, string $to, array $context = []): bool
    {

        if ($data instanceof Book) {
            return false;
        }

        return Book::class === $to && null !== ($context['input']['class'] ?? null);
    }

}

这在逻辑上仅适用于单个资源。为了有一个用于多种资源的通用转换器，我最终使用了一些接口来区分“可拥有”资源，并通过一些反射来实例化每个类。

我原以为这在非规范化阶段是可行的，但我无法让它发挥作用。

于 2020-06-14T08:55:44.340 回答