Laravelov sistem avtorizacije nadzira kaj ima overjen uporabnik dovoljeno delati (drugače kot avtentikacija — kdo so). Vrata so enostavni zaprtki za dovoljenja; Politike so razredi, ki organizirajo logiko avtorizacije okrog specifičnega modela (npr. kdo lahko posodobi Post).
::(, fn() => ->());
(::()) { ... }
::();
Vrata so dobra za enostavna, samostojna dovoljenja, ki niso vezana na specifičen model.
<?php
// php artisan make:policy PostPolicy --model=Post
class PostPolicy {
public function update(User $user, Post $post): bool {
return $user->id === $post->user_id; // only the author can update
}
public function delete(User $user, Post $post): bool {
return $user->id === $post->user_id || $user->isAdmin();
}
}
Politika je razred, ki grupira avtorizacijska pravila za model — vsaka metoda odgovori "ali lahko ta uporabnik izvede to akcijo na tem modelu?" To drži avtorizacijsko logiko organizirano po resursu.
// in a controller
public function update(Request $request, Post $post) {
$this->authorize('update', $post); // checks PostPolicy::update — throws 403 if denied
// ... proceed (we know the user is authorized)
}
// the user model
if ($request->user()->can('update', $post)) { ... }
{{-- in Blade — show UI only if authorized --}}
@can('update', $post)
<a href="{{ route('posts.edit', $post) }}">Edit</a>
@endcan
Metode authorize()/can() (in @can v Blade) avtomatsko preverjajo politiko — vrže 403 ali skrije UI, ko uporabnik nima dovoljenja.
Avtorizacija je bistvena in kritična za varnost — nadzor nad tem, kaj imajo overjena uporabniki dovoljeno delati (ne samo ali so prijavljeni), je temeljni za varnost aplikacije, in Laravelove politike in vrata nudijo čist, organiziran način za to. Razumevanje razlike med avtentikacijo (kdo si — prijava) in avtorizacijo (kaj lahko delaš — dovoljenja) je temeljno, in napake pri avtorizaciji vodijo k resnim ranljivostim (uporabniki dostopajo ali spreminjajo podatke, ki jih ne bi smeli — pokvarjena kontrola dostopa je vrh varnostnih tveganj).
Laravelov sistem ponuja dve komplementarni orodji: Vrata za enostavna, samostojna dovoljenja (zaprtkom osnovna preverjanja), in Politike — pogost, priporočljiv pristop — ki organizirajo avtorizacijska pravila modela v namenski razred (npr. kdo lahko posodobi ali izbriše Post), kar drži avtorizacijsko logiko strukturirano in vzdržno po resursu.
Razumevanje, kako definirati politike/vrata in jih uveljavljati ($this->authorize(), $user->can(), @can v Blade — preverjanje dovoljenj v kontrolerjih, meta 403, in pogojni prikaz UI), je pomembno za graditev varnih aplikacij, kjer uporabniki lahko le izvajajo dovoljena dejanja.
Ker skoraj vsaka resnična aplikacija potrebuje fino natančno kontrolo dostopa (zagotavljanje, da uporabniki lahko spremenijo samo svoje resurse, omejitev dejavnosti administratorja itd.), in ker je napačna avtorizacija nevarna varnostna luknja, je poznavanje Laravelovih politik in vrat — pravilnega, organiziranega načina za implementacijo avtorizacije — pomembno varnostno relevantno senior znanje, ki je bistveno za graditev aplikacij, ki pravilno uveljavljajo kdo lahko kaj naredi, pogosta in kritična zahteva v resničnih sistemih.