0

Для авторизации в приложении используется CASL. На этапе авторизации я назначаю пользователю такое право

...
can('read', 'timetables', {userId : userId});
...

Написал простую обёртку для проверки прав

module.exports.checkAuth = async (ability, action, obj) => {
return ability.can(action, obj);
}

На клиенте при получении всех timetables я пишу такой код:

const result = await checkAuth(req.ability, 'read', 'timetables');
if (!result) throw this.service.errors.unauthorized;

Я ожидаю получить выброс исключения, т.к. пользователь имеет право читать не все timetables, а те, которые удовлетворяют ограничению. Однако проверка прав проходит успешно. Подскажите, где ошибка.

1 ответ 1

0

Исключение не выбрасывается по той причине, что когда делается проверка по имени класса (в этом случае timetables), то это все равно что спросить "Имеет ли пользователь доступ на чтение, хотя бы к одному timetable". И ответ конешно же "true"! Потому что он может читать все timetables где userId равно его id.

Если Вы хотите проверить какой-то конкретный timetable его нужно передать вторым аргументом.

const timetable = await Timetable.findById(req.params.id)
const result = await checkAuth(req.ability, 'read', timetable);
if (!result) throw this.service.errors.unauthorized;

Код для загрузки конкретного timetable конечно, же может выглядеть по другому, это зависит от конкретного роута и АРI фреймворка и ORM/ODM. Если же нужно получить все timetable из базы, тогда можно использовать accessibleBy метод mongoose модели, детальнее об этом здесь:

const count = await Timetable.accessibleBy(req.ability).count();
if (count === 0) throw this.service.errors.unauthorized;

Хотя последний пример не имеет особо смысла. Что Вы хотите так это позволить пользователю читать timetables, если их нет в базе, должен вернутся пустой массив. В противном случае это будет странно возвращать ошибку если в базе нет данных и возвращать массив если кто-то создал timetables для пользователя.

3
  • Ваш ответ понятен. Тогда у меня вопрос: как проверить доступ ко всем timetables? Просто в моём приложении обычный пользователь не может читать все timetables, а может читать только те, где userId у timetable совпадает с его. При запросе на получение всех timetables (URL: /api/timetables) пользователь имеет неограниченный доступ к получению всех timetables, но мне надо, чтобы такого не было. В то же время администратор может видеть все timetables 17 июл 2018 в 12:04
  • Если Вы используете mongoosejs.com то есть дополнительный модуль @casl/mongoose, который как раз делает то что Вам нужно github.com/stalniy/casl/tree/master/packages/casl-mongoose Если что-то другое, тогда нужно самому написать прослойку для выборки данных в соответствии с правами доступа. Об этом можно узнать больше в документации: stalniy.github.io/casl/abilities/database/integration/2017/07/… 19 июл 2018 в 8:08
  • Рекомендую также посмотреть эту статью medium.com/dailyjs/… и пример интеграции с Expressjs: github.com/stalniy/casl-express-example 19 июл 2018 в 8:09

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.