正确实现RESTful API的资源授权

Question

我的团队拥有我们使用Slim Framework用PHP编写的API。 网络应用程序和第三方移动应用程序正在使用它。

我们使用标准的OAuth 2工作流程来提供对我们资源的访问。 我们可以看到有人是否正在与API请求一起发送有效的访问令牌，并且流程的这一部分有意义。

我们遇到的绊脚石是如何根据与访问令牌关联的用户的权限，最有效地授权对资源的访问。

为了简单起见，假设我们只是要确保所讨论资源的所有者与访问令牌的所有者匹配。 对我来说，对于每个请求，路由中间件都将处理该问题，然后再处理该请求，请确保资源所有者ID与访问令牌的ID匹配。

我心中的问题是，资源许可不一定在所有路由中都保持一致，路由不一定在URI的同一部分中具有ID，在URI中可能根本没有ID等。等

我当前的解决方案是拥有一个授权实用程序类，该实用程序类接收电子邮件并针对当前“已登录”的用户（令牌所有者）进行检查。

class Authorization() {
    checkResourcePermissions($email) {
         if (loggedInUser->email == $email) {
             return true;
         }       
    }
}

显然，这是一种简化，但这意味着由于路由中间件在请求通过之前不会具有请求的上下文，因此我将需要在每个API路由内调用此授权方法，并在必要时进行错误响应，等等。我们的API相当大，基本上使它沸腾成大量的复制和粘贴操作，这总是让我非常紧张。

我想念什么？

Answer 1

我建议使用“普通” MiddleWare进行操作：首先，假设您有一个“用户”类，在其中您实现了访问各种类型资源的逻辑或具有特定权限（仅给定$ app）。 它可以访问该请求并从HTTP请求中获取标识单个用户所需的任何信息。

class User{   
        private $userid=false;
        public function __construct($app){
                $this->app=$app;
                $users_mail=$this->app->request->post('email');
                //SELECT user_id FROM USERSTABLE WHERE email = $users_mail
                //$this->userid=user_id
        }
        public function ensureHasAccess($resourceID,$redirect='/noPermission'){
                if(!/*some DB Query which returns true if this user may access the given $resourceID*/)
                        $this->app->redirect($redirect)
        }
        public function ensureHasRole($role) {
                //some other permission checking, like ensureHasAccess();
        }
        public function ensureIsUser(){
                //do Something
        }
}

接下来，您将需要一个MiddleWare，它在调度路由之前运行，并创建一个User -Object：

class UserPermissionMiddleware extends \Slim\Middleware{
        public function call(){
                $this->app->request->user = new User($app);

                $this->next->call();
        }
}

然后，只需添加以下中间件：

$app->add(new UserPermissionMiddleware());

现在，您可以修改每个路由，以检查对资源的访问，而资源ID（当然）仍然需要根据特定于路由的代码手动提供：

$app->get('/resource/:id',function($resourceId) use ($app){
        $app->request->user->ensureHasAccess($resourceId);
        //deliver resource
});

如果不允许用户访问此资源，则整个过程将被中断（请注意，redirect（）是使用Exceptions实现的！），并执行了另一条路由。 您仍然需要在每条Route中添加一些代码，但是如果没有一致的方法来确定要使用的资源，则将无法解决。

希望到目前为止对您有帮助。 如果你有任何问题随时问！