1

Разрабатываю сервис на Yii2, на котором необходимо разделять роли и права у пользователей.

Пытаюсь реализовать rbac. Где то делаю проверки на роль, где то на пермишен.

Пока есть 4 роли: админ, модер, юзер. У каждой роли свои права. И у одной роли смешанные права: т.е. все права юзера + n прав модера. Таких ролей может стать больше.

Не хочется преждевременной оптимизации, но смотреть в завтрашний день всегда полезно.

Как лучше реализовать доступ к правам в фильтрах AccessControl:

  1. Делать проверку на соответствие роли пользователя определенной роли (can('user'))(тогда придется напрячься для разработки логики доступа каждой из смешанных ролей)

  2. Делать проверку на permissions (can('viewItem'),can('updateItem'), can('deleteItemImage'), can('updateName'))(как по мне лучший вариант, т.к. больше вариативности)

  3. Делать проверку на группы ролей (группа->роль->пермишен) (тоже неплохо, но тогда есть возможность образования множества маленьких груп по 1-2 роли внизу)

8
  • Так а наследовать же можно. Админ наследует модера и юзера, модер наследует юзера и т.д. 15 ноя 2018 в 14:22
  • @fedornabilkin, да, я это и реализовал. но что если мне понадобится дать пользователю право выше и заблокировать право ниже? тогда придется блокировать всю роль. как быть тогда?
    – dasauser
    16 ноя 2018 в 4:50
  • @fedornabilkin, из этого и вытекают проблемы 1-го и 3-го варианта: негибкость создания новых ролей и бесконечное создание новых групп.
    – dasauser
    16 ноя 2018 в 5:58
  • Подход rbac не предполагает блокировку прав. По умолчанию заблокировано все. Если понадобится право выше без низшего, что мешает создать еще одну роль? Если к роли добавлять описание, тогда путаница не возникнет. Обычно, если кто-то обладает высокими правами, автоматом обладает и более низкими. В другом случае эти права находятся на одном уровне (право 1 ИЛИ право 2). 16 ноя 2018 в 6:20
  • @fedornabilkin, извините что ввел в заблуждение, поправил вопрос. я понимаю как работает система прав в rbac, я не понимаю как осуществлять проверку доступа: проверять на роль, перишен или проверять на группу?
    – dasauser
    16 ноя 2018 в 6:51

1 ответ 1

1

Рекомендую использовать модуль https://github.com/yii2mod/yii2-rbac.

Здесь permission - это путь к action. Модуль предоставляет готовые контроллеры для управления ролями.

Сначала заходим в маршруты (/rbac/route/index) и выбираем маршруты которые будут использоваться для настройки прав - по сути формируем пермишены, которые затем будем назначать на роли (перетягиваем маршруты из левого списка в правый).

Затем создаем роли (/rbac/role/index) и в каждой указываем какие пути этой роли доступны. Модуль автоматически будет проверять есть ли права на выполнение action у текущего пользователя (в конфиге приложения добавляем поведение для проверки доступа ко всем actions - параметр 'as access').

Можно дополнительно проверять доступ и так Yii::$app->routeAccess->can('/post/create'). Например делать неактивными кнопки:

<?= Html::a(
    'label', 
    ['/post/create'],
    ['class'=>'btn btn-primary' . (Yii::$app->routeAccess->can('/post/create') ? '' : ' disabled')]) 
?>

Если появляется роль в которой нужно что-то запретить, то разбиваем уже используемую роль на базовую (без каких-то определенных прав) и продвинутую. Скажем, у нас был модератор. Теперь нам нужен модератор, но который не может удалять посты. Тогда делаем:

  • Модератор базовый
  • Модератор с удалением (наследует Модератор базовый + дополнительные маршруты)
7
  • так это же проверка каждого пермишена в обертке проверки путей, я правильно понимаю?
    – dasauser
    19 ноя 2018 в 6:53
  • 1
    да, это по сути проверка пермишена. просто количество пермишенов со временем наростает и становится проще проверять пути 19 ноя 2018 в 6:56
  • ну да, действительно. я уже пользуюсь этим расширением для назначения пермишенов через интерфейс и не понимаю как проверять пути: есть адрес /route где просто отображаются все доступные пути. как их проверить?
    – dasauser
    19 ноя 2018 в 7:16
  • 1
    не совсем понял вопрос 19 ноя 2018 в 9:17
  • 1
    На странице /rbac/route/index формируем в правой колонке список путей, которые будут использоваться, т.е. попадут в пермишены. Потом на /rbac/role/index заходим в роль и накидываем из этого списка пути которые будут доступны этой роли. Далее нужно добавить yii2mod\rbac\filters\AccessControl::class либо в настройках конфига приложения в as access либо прямо в контролере в behaviors. 19 ноя 2018 в 13:48

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими условиями использования и подтверждаете, что прочитали и поняли наши политику конфиденциальности и нормы поведения.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.