Laravelin valtuutusjärjestelmä ohjaa mitä todennettu käyttäjä saa tehdä (eroaa autentikoinnista — kuka hän on). Portinvartijat (Gates) ovat yksinkertaisia sulkeumia oikeuksille; Käytännöt (Policies) ovat luokkia, jotka järjestävät valtuutuslogiikan tietyn mallin ympärille (esim. kuka voi päivittää Post-julkaisua).
::(, fn() => ->());
(::()) { ... }
::();
Portinvartijat sopivat hyvin yksinkertaisiin, erillisiin oikeuksiin, jotka eivät liity tiettyyn malliin.
<?php
// php artisan make:policy PostPolicy --model=Post
class PostPolicy {
public function update(User $user, Post $post): bool {
return $user->id === $post->user_id; // only the author can update
}
public function delete(User $user, Post $post): bool {
return $user->id === $post->user_id || $user->isAdmin();
}
}
Käytäntö-luokka ryhmittelee mallin valtuutussäännöt — jokainen metodi vastaa kysymykseen "voiko tämä käyttäjä suorittaa tätä toimintoa tälle mallille?" Tämä pitää valtuutuslogiikan järjestettynä resurssia kohden.
// in a controller
public function update(Request $request, Post $post) {
$this->authorize('update', $post); // checks PostPolicy::update — throws 403 if denied
// ... proceed (we know the user is authorized)
}
// the user model
if ($request->user()->can('update', $post)) { ... }
{{-- in Blade — show UI only if authorized --}}
@can('update', $post)
<a href="{{ route('posts.edit', $post) }}">Edit</a>
@endcan
Menetelmät authorize()/can() (ja @can Bladessa) tarkistavat käytännön automaattisesti — heittävät 403:n tai piilottavat käyttöliittymän, kun käyttäjällä ei ole oikeuksia.
Valtuutus on välttämätöntä ja turvallisuuskriittistä — todennettujen käyttäjien sallittujen toimintojen ohjaaminen (ei pelkästään se, ovatko he kirjautuneina) on olennaista sovelluksen turvallisuudelle, ja Laravelin käytännöt ja portinvartijat tarjoavat puhtaan, järjestetyn tavan käsitellä sitä.
Erojen ymmärtäminen autentikoinnin (kuka olet — kirjautuminen) ja valtuutuksen (mitä voit tehdä — oikeudet) välillä on perusasioita, ja valtuutuksen epäonnistumiset johtavat vakaviin haavoittuvuuksiin (käyttäjät pääsevät käsiksi tai muokkaavat tietoa, jota he eivät saisi — heikko pääsynvalvonta on huomattava turvallisuusriski).
Laravelin järjestelmä tarjoaa kaksi täydentävää työkalua: Portinvartijat yksinkertaisille, erillisille oikeuksille (sulkeumiin perustuvat tarkistukset) ja Käytännöt — yleinen, suositeltu lähestymistapa — jotka järjestävät mallin valtuutussäännöt omaksi luokakseen (esim. kuka voi päivittää tai poistaa Post-julkaisua), mikä pitää valtuutuslogiikan jäsenneltynä ja ylläpidettävänä resurssia kohden.
Ymmärrys siitä, miten määritellään käytännöt/portinvartijat ja niiden täytäntöönpano ($this->authorize(), $user->can(), @can Bladessa — oikeuksien tarkistaminen kontrolleissa, 403-virhejen heittäminen ja käyttöliittymän ehdollinen näyttäminen) on tärkeää turvallisten sovellusten rakentamiselle, joissa käyttäjät voivat vain suorittaa sallittuja toimintoja.
Koska lähes jokainen todellinen sovellus tarvitsee hienojakoista pääsynvalvontaa (varmistaen, että käyttäjät voivat muokata vain omia resurssejaan, rajoittaen hallintotoimintoja jne.) ja koska valtuutuksen väärä implementointi luo vaarallisia turvaloukkoja, Laravelin käytäntöjen ja portinvartijoiden — oikean, järjestetyn tavan valtuutuksen implementoinnille — tunteminen on tärkeää turvallisuusrelevanttiä seniorikehittäjän tietoa, joka on välttämätöntä sovellusten rakentamiselle, jotka asianmukaisesti täytäntöönpanivat kuka voi tehdä mitä, usein ja kriittinen vaatimus todellisissa järjestelmissä.