نظام التحقيص من الصلاحيات في Laravel يتحكم في ما يُسمح للمستخدم المصرح به بفعله (وهو مختلف عن المصادقة — من يكون). البوابات هي closures بسيطة للأذونات؛ السياسات هي فئات تنظم منطق التحقيص حول نموذج معين (مثل من يمكنه تحديث Post).
::(, fn() => ->());
(::()) { ... }
::();
البوابات مفيدة للأذونات البسيطة والمستقلة التي لا ترتبط بنموذج معين.
<?php
// php artisan make:policy PostPolicy --model=Post
class PostPolicy {
public function update(User $user, Post $post): bool {
return $user->id === $post->user_id; // only the author can update
}
public function delete(User $user, Post $post): bool {
return $user->id === $post->user_id || $user->isAdmin();
}
}
فئة السياسة تجمع قواعد التحقيص للنموذج — كل method يجيب على السؤال "هل يمكن لهذا المستخدم تنفيذ هذا الإجراء على هذا النموذج؟" هذا يبقي منطق التحقيص منظماً لكل مورد.
// in a controller
public function update(Request $request, Post $post) {
$this->authorize('update', $post); // checks PostPolicy::update — throws 403 if denied
// ... proceed (we know the user is authorized)
}
// the user model
if ($request->user()->can('update', $post)) { ... }
{{-- in Blade — show UI only if authorized --}}
@can('update', $post)
<a href="{{ route('posts.edit', $post) }}">Edit</a>
@endcan
طرق authorize()/can() (و @can في Blade) تتحقق من السياسة تلقائياً — ترمي استثناء 403 أو تخفي واجهة المستخدم عندما لا يكون المستخدم مصرحاً.
التحقيص من الصلاحيات ضروري وحساس للأمان — التحكم في ما يُسمح للمستخدمين المصرحين به بفعله (وليس فقط ما إذا كانوا مسجلين) هو جزء أساسي من أمان التطبيق، والسياسات والبوابات في Laravel توفر طريقة نظيفة ومنظمة للتعامل معها.
فهم التمييز بين المصادقة (من أنت — تسجيل الدخول) والتحقيص من الصلاحيات (ما يمكنك فعله — الأذونات) أمر أساسي، وفشل التحقيص يؤدي إلى ثغرات خطيرة (المستخدمون يصلون إلى بيانات أو يعدلونها لا يجب أن يتمكنوا من الوصول إليها — التحكم في الوصول المكسور هو أحد أكبر مخاطر الأمان).
نظام Laravel يوفر أداتين متكاملتين: البوابات للأذونات البسيطة والمستقلة (فحوصات مبنية على closure)، والسياسات — النهج الشائع والموصى به — التي تنظم قواعد التحقيص للنموذج في فئة مخصصة (مثل من يمكنه تحديث أو حذف Post)، مما يبقي منطق التحقيص منظماً وسهل الصيانة لكل مورد.
فهم كيفية تعريف السياسات/البوابات وإنفاذها ($this->authorize()، $user->can()، @can في Blade — التحقق من الأذونات في المتحكمات، رمي استثناءات 403، وإظهار واجهة المستخدم بشكل مشروط) مهم لبناء تطبيقات آمنة حيث يمكن للمستخدمين فقط تنفيذ الإجراءات المسموحة.
بما أن تقريباً كل تطبيق حقيقي يحتاج إلى التحكم في الوصول الدقيق (التأكد من أن المستخدمين يمكنهم فقط تعديل مواردهم الخاصة، تقييد الإجراءات الإدارية، إلخ)، وبما أن الخطأ في التحقيص يخلق ثغرات أمان خطيرة، فإن معرفة السياسات والبوابات في Laravel — الطريقة الصحيحة والمنظمة لتنفيذ التحقيص — هي معرفة أمان مهمة على مستوى كبير ضرورية لبناء تطبيقات تنفذ بشكل صحيح من يمكنه فعل ماذا، متطلب متكرر وحرج في الأنظمة الحقيقية.