Symfony2 ACL в сочетании с другими критериями

Ответ 1

Рассматривали ли вы использование избирателя? Там рецепт кулинарной книги для реализации избирателя черного списка черного списка, но его можно легко изменить, чтобы обработать проверку прав на объекты Comment.

Вы можете посмотреть AclVoter по умолчанию на Symfony\Component\Security\Acl\Voter\AclVoter (онлайн здесь), хотя ваш, очевидно, может увеличиваться вместо замены и намного проще.

В качестве быстрого доказательства концепции:

class CommentTimestampVoter implements VoterInterface
{
    public function supportsAttribute($attribute)
    {
        return 'edit' === $attribute;
    }

    public function vote(TokenInterface $token, $object, array $attributes)
    {
        // 1. check if $token->getUser() has ROLE_ADMIN and return VoterInterface::ACCESS_GRANTED if so
        // 2. check if $token->getUser() equals $object->getAuthor() and return VoterInterface::ACCESS_DENIED if not
        // 3. check that $object->getCreatedAt() is within the window allowed for editing and return VoterInterface::ACCESS_GRANTED if so
        // 4. return VoterInterface::ACCESS_DENIED
    }

    public function supportsClass($class)
    {
        return 'Acme\CommentBundle\Entity\Comment' === $class;
    }
}

Ответ 2

Я отправляю это решение, чтобы другие могли видеть мой окончательный код, но вот те ошибки, которые я обнаружил при реализации предложения Voter as Problematic.

supportAttribute. Похоже, что когда вы вызываете метод isGranted в SecurityContext, который фактически не проверяет этот метод до делегирования вызова vote на VoterInterface, поэтому внутри вашего метода vote вы должны сами проверить атрибуты.

поддерживаетClass. В проблемном ответе выше казалось, что этот метод может быть ключом для выбора Factory, из которого VoterInterface может голосовать, но на самом деле документация symfony2 гласит:

Метод supportsClass() используется для проверки того, поддерживает ли избиратель текущий класс токена пользователя.

Поэтому на самом деле это похоже на то, поддерживает ли Voter тип токена. Хуже того, PHP Doc кажется неопределенным:

Проверяет, поддерживает ли избиратель данный класс.

Во всяком случае главная проблема заключается в том, что этот метод никогда не проверяется SecurityContext перед тем, как делегировать вызов методу vote любого избирателя - , даже если этот метод жестко запрограммирован на return false vote будет по-прежнему вызываться!

Итак, в основном мораль этой истории выглядела так: проверьте $attributes и $object на метод vote вручную.

Мой код:

services.yml

parameters:
    comment_voter.class: Acme\Bundle\CommentBundle\Security\Authorization\Voter\CommentVoter

services:
    comment_voter:
        class: %comment_voter.class%
        arguments:  [@service_container]
        public: false
        tags:
          - { name: security.voter }

и класс избирателя:

<?php

namespace Acme\Bundle\CommentBundle\Security\Authorization\Voter;

use Symfony\Component\Security\Core\Authorization\Voter\VoterInterface;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;

use Acme\Bundle\CommentBundle\Entity\Comment;
use Symfony\Component\Security\Core\User\UserInterface;

/**
 * A class to check editing privileges for Comments.
 */
class CommentVoter implements VoterInterface {

    const AUTHOR_EDIT_TIME_LIMIT    = 300;

    private $container;

    public function __construct($container) {
        $this->container = $container;
    }

    public function supportsAttribute($attribute) {
        return $attribute === 'EDIT';
    }

    public function supportsClass($class) {
        return true;
    }

    /**
     * Checks whether or not the current user can edit a comment.
     * 
     * Users with the role ROLE_COMMENT_MODERATOR may always edit.
     * A comment author can only edit within 5 minutes of it being posted.
     * 
     * {@inheritdoc}
     */
    public function vote(TokenInterface $token, $object, array $attributes) {
        if ( !($object instanceof Comment) ) {
            return VoterInterface::ACCESS_ABSTAIN;
        }

        // Only supports 'EDIT' for now.
        if ( !$this->supportsAttribute($attributes[0]) ) {
            return VoterInterface::ACCESS_ABSTAIN;
        }

        $user = $token->getUser();
        if ( !($user instanceof UserInterface) ) {
            return VoterInterface::ACCESS_DENIED;
        }

        // Is the token a comment moderator?
        if ( $this->container->get('security.context')->isGranted('ROLE_COMMENT_MODERATOR') ) {
            return VoterInterface::ACCESS_GRANTED;
        }

        // Is the token the author of the post and within the edit window.
        $originalRevision = $object->getOriginalRevision();
        if ( $originalRevision->getAuthor()->equals($user) ) {
            if ( 
                (time() - $originalRevision->getCreationDate()->getTimestamp())
                <= self::AUTHOR_EDIT_TIME_LIMIT
            ) {
                return VoterInterface::ACCESS_GRANTED;
            }
        }

        return VoterInterface::ACCESS_DENIED;
    }

}

и, наконец, шаблон:

{% if is_granted('EDIT', comment) %}<a href="#">Edit</a>{% endif %}

Я надеюсь, что это поможет кому-то еще в будущем и большое спасибо Проблематике за то, что указали мне в сторону Избирателей.