Laravel નો અધિકાર સિસ્ટમ નિયંત્રણ કરે છે કોઈ પ્રમાણિત વપરાશકર્તા શું કરી શકે છે (પ્રમાણીકરણથી અલગ — તેઓ કોણ છે). ગેટ્સ એ વિશેષાધિકાર માટે સરળ ક્લોઝર છે; નીતિઓ એ વર્ગો છે જે ચોક્કસ મોડેલ (દા.ત. પોસ્ટ અપડેટ કોણ કરી શકે) ની આસપાસ અધિકાર તર્ક આયોજિત કરે છે।
::(, fn() => ->());
(::()) { ... }
::();
ગેટ્સ સરળ, સ્ટેન્ડअલોન વિશેષાધિકાર માટે સારી હોય છે જે ચોક્કસ મોડેલ સાથે જોડાયેલી નથી।
<?php
// php artisan make:policy PostPolicy --model=Post
class PostPolicy {
public function update(User $user, Post $post): bool {
return $user->id === $post->user_id; // only the author can update
}
public function delete(User $user, Post $post): bool {
return $user->id === $post->user_id || $user->isAdmin();
}
}
એક નીતિ વર્ગ મોડેલ માટે અધિકાર નિયમોને જૂથબદ્ધ કરે છે — દરેક પદ્ધતિ જવાબ આપે છે "શું આ વપરાશકર્તા આ મોડેલ પર આ ક્રિયા કરી શકે?" આ અધિકાર તર્ક પ્રતિ સંસાધન આયોજિત રાખે છે।
// in a controller
public function update(Request $request, Post $post) {
$this->authorize('update', $post); // checks PostPolicy::update — throws 403 if denied
// ... proceed (we know the user is authorized)
}
// the user model
if ($request->user()->can('update', $post)) { ... }
{{-- in Blade — show UI only if authorized --}}
@can('update', $post)
<a href="{{ route('posts.edit', $post) }}">Edit</a>
@endcan
authorize()/can() પદ્ધતિઓ (અને Blade માં @can) આપોઆપ નીતિ તપાસે છે — જ્યારે વપરાશકર્તા પરવાનગી આપી નથી ત્યારે 403 ફેંકે છે અથવા UI છુપાવે છે।
અધિકાર આવશ્યક અને સુરક્ષા-નિર્ણાયક છે — પ્રમાણિત વપરાશકર્તાઓ શું કરી શકે તે નિયંત્રણ કરવું (શું તેઓ લૉગ ઇન કર્યા છે તે જ નહીં) એ એપ્લિકેશન સુરક્ષા માટે મૂળભૂત છે, અને Laravel ની નીતિઓ અને ગેટ્સ તેને સંભાળવાની સ્વચ્છ, આયોજિત રીત પ્રદાન કરે છે।
પ્રમાણીકરણ (તમે કોણ છો — લૉગઇન) અને અધિકાર (તમે શું કરી શકો છો — વિશેષાધિકાર) વચ્ચેનો તફાવત સમજવો એ મૂળભૂત છે, અને અધિકાર નિષ્ફલતા ગંભીર દુર્બળતાઓ તરફ દોરી જાય છે (વપરાશકર્તાઓ ડેટા ફાળવવું અથવા સુધારવું જે તેઓ નથી કરી શકતા — તૂટેલ ભાગ સુલભતા એક ટોચ સુરક્ષા જોખમ છે)।
Laravel ની સિસ્ટમ બે પૂરક સાધનો આપે છે: ગેટ્સ સરળ, સ્ટેન્ડAlone વિશેષાધિકાર માટે (ક્લોઝર-આધારિત તપાસ), અને નીતિઓ — સામાન્ય, ભલામણ કરેલ અભિગમ — જે મોડેલના અધિકાર નિયમોને ડેડીકેટેડ વર્ગમાં આયોજિત કરે છે (દા.ત. પોસ્ટ અપડેટ અથવા કાઢી નાખવું કોણ કરી શકે), અધિકાર તર્ક પ્રતિ સંસાધન સુરક્ષિત અને જાળવણીશીલ રાખે છે।
nીતિઓ/ગેટ્સ કેવી રીતે નક્કી કરવી અને તેને લાગુ કરવું ($this->authorize(), $user->can(), Blade માં @can — નિયંત્રકોમાં વિશેષાધિકાર તપાસીને, 403 ફેંકીને, અને શરતી રીતે UI બતાવવું) એ સુરક્ષિત એપ્લિકેશન બનાવવા માટે મહત્વપૂર્ણ છે જ્યાં વપરાશકર્તાઓ ફક્ત પરવાનગી આપેલી ક્રિયાઓ કરી શકે છે।
હોવાથી લગભગ દરેક વાસ્તવિક એપ્લિકેશનને સૂક્ષ્મ-દાણાવાળી ભાગ નિયંત્રણની જરૂર છે (નિશ્ચિત કરે છે કે વપરાશકર્તાઓ ફક્ત તેમના પોતાના સંસાધનો સુધારી શકે, વહીવટી ક્રિયાઓ સમર્થક કરે, વગેરે), અને હોવાથી અધિકાર ખોટું કરવું જોખમી સુરક્ષા છિદ્રો બનાવે છે, Laravel ની નીતિઓ અને ગેટ્સ જાણવું — અધિકાર લાગુ કરવાની યોગ્ય, આયોજિત રીત — મહત્વપૂર્ણ સુરક્ષા-સંબંધિત સિનિયર જ્ઞાન છે જે એમ્પ્લીકેશન બનાવવા માટે આવશ્યક છે જે યોગ્યતાથી અમલમાં કરે છે કોણ શું કરી શકે, વાસ્તવિક સિસ્ટમોમાં વારંવાર અને નિર્ણાયક આવશ્યકતા।