今天，我们将讨论 laravel web 框架的授权系统。 laravel 框架以门和策略的形式实现授权。在介绍了门和策略之后，我将通过实现一个自定义示例来演示这些概念。
我假设您已经了解内置的 laravel 身份验证系统，因为这是理解授权概念所必需的。显然，授权系统与认证系统一起工作来识别合法的用户会话。
如果您不了解 laravel 身份验证系统，我强烈建议您阅读官方文档，它可以让您深入了解该主题。
laravel 的授权方法现在，您应该已经知道 laravel 授权系统有两种形式：门和策略。虽然这听起来像是一件复杂的事情，但我想说，一旦掌握了它的窍门，它就很容易实现！
gate 允许您使用简单的基于闭包的方法定义授权规则。换句话说，当您想要授权与任何特定模型无关的操作时，门是实现该逻辑的完美位置。
让我们快速了解一下基于门的授权是什么样的：
......gate::define('update-post', function ($user, $post) { return $user->id == $post->user_id;});......
上面的代码片段定义了授权规则 update-post 您可以从应用程序中的任何位置调用它。
另一方面，当您想要对任何模型的授权逻辑进行分组时，您应该使用策略。例如，假设您的应用程序中有一个 post 模型，并且您想要授权该模型的 crud 操作。在这种情况下，这就是您需要实施的策略。
class postpolicy{ public function view(user $user, post $post) {} public function create(user $user) {} public function update(user $user, post $post) {} public function delete(user $user, post $post) {}}
如您所见，这是一个非常简单的策略类，定义了 post 模型的 crud 操作的授权。
这就是 laravel 中的门和策略的介绍。从下一节开始，我们将对每个元素进行实际演示。
大门在本节中，我们将通过一个现实示例来理解门的概念。
如何创建自定义门当您需要注册组件或服务时，您通常会寻找 laravel 服务提供者。遵循该约定，让我们继续在 app/providers/authserviceprovider.php 中定义自定义门，如以下代码片段所示。
<?phpnamespace app\providers; use illuminate\support\facades\gate;use illuminate\foundation\support\providers\authserviceprovider as serviceprovider;use illuminate\http\request; class authserviceprovider extends serviceprovider{ /** * the policy mappings for the application. * * @var array */ protected $policies = [ 'app\model' => 'app\policies\modelpolicy', ]; /** * register any authentication / authorization services. * * @return void */ public function boot() { $this->registerpolicies(); gate::define('update-post', function ($user, $post) { return $user->id == $post->user_id; }); }}
在 boot 方法中，我们定义了自定义门：
gate::define('update-post', function ($user, $post) { return $user->id == $post->user_id;});
定义门时，它需要一个闭包，根据门定义中定义的授权逻辑，返回 true 或 false 。除了闭包函数之外，还有其他方法可以定义门。
例如，以下门定义调用控制器操作而不是闭包函数。
gate::define('update-post', 'controllername@methodname');
如何使用我们的自定义大门现在，让我们继续添加自定义路由，以便我们可以演示基于门的授权如何工作。在路由文件 routes/web.php 中，添加以下路由。
route::get('service/post/gate', 'postcontroller@gate');
让我们也创建一个关联的控制器文件app/http/controllers/postcontroller.php。
<?phpnamespace app\http\controllers; use app\http\controllers\controller;use app\post;use illuminate\support\facades\gate; class postcontroller extends controller{ /* make sure you don't use gate and policy altogether for the same model/resource */ public function gate() { $post = post::find(1); if (gate::allows('update-post', $post)) { echo 'allowed'; } else { echo 'not allowed'; } exit; }}
在大多数情况下，您最终会使用 allows 或 denies 方法（gate 外观）来授权特定操作。在上面的示例中，我们使用 allows 方法来检查当前用户是否能够执行 update-post 操作。
眼尖的用户会注意到我们只将第二个参数 $post 传递给了闭包。第一个参数是当前登录的用户，由 gate 门面自动注入。
这就是您应该如何使用门来授权 laravel 应用程序中的操作。如果您希望为模型实现授权，下一节将介绍如何使用策略。
政策正如我们之前讨论的，当您想要对任何特定模型或资源的授权操作进行逻辑分组时，您需要的就是策略。
如何创建自定义策略在本节中，我们将为 post 模型创建一个策略，用于授权所有 crud 操作。我假设您已经在应用程序中实现了 post 模型；否则，类似的事情也会做。
laravel artisan 命令是创建存根代码时最好的朋友。您可以使用以下 artisan 命令为 post 模型创建策略。
$php artisan make:policy postpolicy --model=post
如您所见，我们提供了 --model=post 参数，以便它创建所有 crud 方法。如果没有，它将创建一个空白策略类。您可以在 app/policies/postpolicy.php 中找到新创建的策略类。
<?phpnamespace app\policies;use app\post;use app\user;use illuminate\auth\access\handlesauthorization;class postpolicy{ use handlesauthorization; /** * determine whether the user can view any models. * * @param \app\user $user * @return mixed */ public function viewany(user $user) { // } /** * determine whether the user can view the model. * * @param \app\user $user * @param \app\post $post * @return mixed */ public function view(user $user, post $post) { // } /** * determine whether the user can create models. * * @param \app\user $user * @return mixed */ public function create(user $user) { // } /** * determine whether the user can update the model. * * @param \app\user $user * @param \app\post $post * @return mixed */ public function update(user $user, post $post) { // } /** * determine whether the user can delete the model. * * @param \app\user $user * @param \app\post $post * @return mixed */ public function delete(user $user, post $post) { // } /** * determine whether the user can restore the model. * * @param \app\user $user * @param \app\post $post * @return mixed */ public function restore(user $user, post $post) { // } /** * determine whether the user can permanently delete the model. * * @param \app\user $user * @param \app\post $post * @return mixed */ public function forcedelete(user $user, post $post) { // }}
让我们将其替换为以下代码。
<?phpnamespace app\policies; use app\user;use app\post;use illuminate\auth\access\handlesauthorization; class postpolicy{ use handlesauthorization; /** * determine whether the user can view the post. * * @param \app\user $user * @param \app\post $post * @return mixed */ public function view(user $user, post $post) { return true; } /** * determine whether the user can create posts. * * @param \app\user $user * @return mixed */ public function create(user $user) { return $user->id > 0; } /** * determine whether the user can update the post. * * @param \app\user $user * @param \app\post $post * @return mixed */ public function update(user $user, post $post) { return $user->id == $post->user_id; } /** * determine whether the user can delete the post. * * @param \app\user $user * @param \app\post $post * @return mixed */ public function delete(user $user, post $post) { return $user->id == $post->user_id; }}
为了能够使用我们的策略类，我们需要使用 laravel 服务提供者注册它，如以下代码片段所示。
<?phpnamespace app\providers; use illuminate\foundation\support\providers\authserviceprovider as serviceprovider;use illuminate\http\request;use app\post;use app\policies\postpolicy; class authserviceprovider extends serviceprovider{ /** * the policy mappings for the application. * * @var array */ protected $policies = [ post::class => postpolicy::class ]; /** * register any authentication / authorization services. * * @return void */ public function boot() { $this->registerpolicies(); }}
我们已在 $policies 属性中添加了策略映射。它告诉 laravel 调用相应的策略方法来授权 crud 操作。
您还需要使用 registerpolicies 方法注册策略，就像我们在 boot 方法中所做的那样。
没有模型的策略方法postpolicy 策略类中的 create 方法仅采用单个参数，这与采用两个参数的其他模型方法不同。一般来说，第二个参数是模型对象，您将在执行授权时使用它。但是，在 create 方法的情况下，您只需要检查是否允许相关用户创建新帖子。
在下一节中，我们将了解如何使用自定义策略类。
如何使用我们的自定义策略类更进一步，让我们在 routes/web.php 文件中创建几个自定义路由，以便我们可以在那里测试我们的策略方法。
route::get('service/post/view', 'postcontroller@view');route::get('service/post/create', 'postcontroller@create');route::get('service/post/update', 'postcontroller@update');route::get('service/post/delete', 'postcontroller@delete');
最后，让我们在 app/http/controllers/postcontroller.php 创建一个关联的控制器。
<?phpnamespace app\http\controllers; use app\http\controllers\controller;use app\post;use illuminate\support\facades\auth; class postcontroller extends controller{ public function view() { // get current logged in user $user = auth::user(); // load post $post = post::find(1); if ($user->can('view', $post)) { echo current logged in user is allowed to update the post: {$post->id}; } else { echo 'not authorized.'; } } public function create() { // get current logged in user $user = auth::user(); if ($user->can('create', post::class)) { echo 'current logged in user is allowed to create new posts.'; } else { echo 'not authorized'; } exit; } public function update() { // get current logged in user $user = auth::user(); // load post $post = post::find(1); if ($user->can('update', $post)) { echo current logged in user is allowed to update the post: {$post->id}; } else { echo 'not authorized.'; } } public function delete() { // get current logged in user $user = auth::user(); // load post $post = post::find(1); if ($user->can('delete', $post)) { echo current logged in user is allowed to delete the post: {$post->id}; } else { echo 'not authorized.'; } }}
您可以通过不同的方式使用策略来授权您的操作。在上面的示例中，我们使用 user 模型来授权我们的 post 模型操作。
user 模型提供了两种有用的授权方法 — can 和 cant。 can 方法用于检查当前用户是否能够执行某个操作。而与 can 方法对应的 cant 方法，用于判断动作是否无法执行。
让我们从控制器中获取 view 方法的片段，看看它到底做了什么。
public function view(){ // get current logged in user $user = auth::user(); // load post $post = post::find(1); if ($user->can('view', $post)) { echo current logged in user is allowed to update the post: {$post->id}; } else { echo 'not authorized.'; }}
首先，我们加载当前登录的用户，这为我们提供了 user 模型的对象。接下来，我们使用 post 模型加载示例帖子。
接下来，我们使用 user 模型的 can 方法来授权 post 模型的 view 操作。 can 方法的第一个参数是您要授权的操作名称，第二个参数是您要授权的模型对象。
这是如何使用 user 模型通过策略授权操作的演示。或者，如果您在控制器中授权某个操作，则也可以使用控制器助手。
…$this->authorize('view', $post);…
如您所见，如果您使用控制器助手，则无需加载 user 模型。
如何通过中间件使用策略或者，laravel 还允许您使用中间件授权操作。让我们快速查看以下代码片段，了解如何使用中间件来授权模型操作。
route::put('/post/{post}', function (post $post) { // currently logged-in user is allowed to update this post.... })->middleware('can:update,post');
在上面的示例中，它将使用 can 中间件。我们传递两个参数：第一个参数是我们想要授权的操作，第二个参数是路由参数。根据隐式模型绑定的规则，第二个参数会自动转换为 post 模型对象，并作为第二个参数传递。如果当前登录的用户无权执行 update 操作，laravel 将返回 403 状态代码错误。
如何将策略与刀片模板结合使用如果您希望在登录用户被授权执行特定操作时显示代码片段，您还可以在刀片模板中使用策略。让我们快速看看它是如何工作的。
@can('delete', $post) <!-- display delete link here... -->@endcan
在上述情况下，它只会向有权对 post 模型执行删除操作的用户显示删除链接。
这就是您可以使用的策略概念，在授权模型或资源时它非常方便，因为它允许您将授权逻辑分组在一个地方。
只需确保您不会将门和策略一起用于模型的相同操作，否则会产生问题。这就是我今天的内容，今天就到此为止！
结论今天，laravel 授权占据了我文章的中心位置。在文章的开头，我介绍了 laravel 授权、网关和策略的主要要素。
接下来，我们创建了自定义门和策略，以了解它在现实世界中的工作原理。我希望您喜欢这篇文章，并在 laravel 环境中学到了一些有用的东西。
对于刚刚开始使用 laravel 或希望通过扩展来扩展您的知识、网站或应用程序的人，我们在 envato market 上提供了多种可供您学习的内容。
以上就是laravel中的门和策略的详细内容。