Restriction d'accès Symfony aux actions CRUD

Question

J'ai simplement une fonction CRUD générée par symfony. Il existe un propriétaire de classe et d'article. Je veux empêcher d'autres utilisateurs que le propriétaire de l'article actuel de le modifier. Je pensais à personnaliser mon propre filtre ou validateur, mais quand j'implémenterais un validateur, certains des utilisateurs peuvent entrer dans le formulaire d'édition (ils ne pouvaient pas seulement l'envoyer). Mais quand j'implémenterai le filtre d'utilisateur il y aura un problème pour que le filtre s'exécute seulement avant certaines actions (éditer dans ce cas).

Comment devrais-je faire cela?

Answer 1

Je pense que c'est intégré. Vous devriez lire sur le fichier security.yml.

MISE À JOUR: Je vois ... apparemment le système de sécurité calls the method hasCredential() of the user object. Peut-être pourriez-vous étendre cette méthode dans votre classe d'utilisateurs personnalisée, afin qu'elle effectue une vérification spéciale lorsque son paramètre est, par exemple, 'article_owner'.

Une fois cela fait, tout ce que vous aurez à faire est de spécifier ces informations d'identification pour les actions que vous voulez

Answer 2

Je ne pense pas que symfony supporte le contrôle d'accès au niveau de l'objet hors de la boîte. J'ai eu ce problème particulier dans une de mes applications et j'ai fini par vérifier explicitement si l'utilisateur connecté correspond au propriétaire dans l'action d'édition. C'est la fonction que j'ai utilisée pour cela:

protected function hasObjectAccess($obj) { 
    if ($this->getUser()->hasGroup('admin') 
     || $obj->getOwnerId() == $this->getUser()->getId()))) { 
     return true; 
    } 
    return false; 
}