来宾用户的授权和政策

Question

案例：我正在建立一个使用Laravel授权作为策略基础的论坛。 我运行的检查示例包括@can('view', $forum)和@can('reply', $topic) ， Gate::allows('create_topic', $forum)等。这些检查基本上检查是否用户角色具有对特定论坛，主题或帖子的权限。 这样，我可以为应用程序中的每个论坛赋予角色非常特定的权限。

问题在于所有这些检查都要经过Gate类，特别是称为raw()的方法，该方法在其第一行中执行此操作：

if (! $user = $this->resolveUser()) {
    return false;
}

这在与论坛打交道时会出现问题。 还应允许我的应用程序的访客访问我的论坛，但是，从上面的代码中可以看到，如果用户未登录，Laravels Gate类将自动返回false。

即使没有用户，我也必须能够触发我的策略。 在我的ForumPolicy@view方法中说，我执行if(User::guest() && $forum->hasGuestViewAccess()) { return true }

但是如您所见，此方法永远不会触发。

有没有办法让我仍然对来宾用户使用Laravel的授权功能？

Answer 1

我不知道一种超自然的方法来完成此操作，但是如果有必要，您可以更改gate的用户解析器 ，该解析器负责查找用户（默认情况下，它从Auth::user()读取）。

由于解析器受保护且没有设置器，因此您需要在创建时对其进行修改。 门在Laravel的AuthServiceProvider实例化 。 您可以扩展此类，并用子类替换app.providers配置中对app.providers的引用。

这取决于您要返回哪种访客对象（只要是真实的），但是我可能会使用诸如空User模型之类的东西：

protected function registerAccessGate()
{
    $this->app->singleton(GateContract::class, function ($app) {
        return new Gate($app, function () use ($app) {
            $user = $app['auth']->user();
            if ($user) {
                return $user;
            }
            return new \App\User;
        });
    });
}

您可以更进一步，并在其上设置特殊属性，例如$user->isGuest ，甚至可以定义特殊的来宾类或常量。

或者，您可以在Auth级别调整流程，以便将所有注销的会话包装在对Auth::setUser($guestUserObject)的调用中。

Answer 2

我刚刚发布了一个软件包 ，该软件包允许将权限逻辑应用于来宾用户。 当没有用户解析时，它会稍微修改Laravel的Authorization以返回Guest对象而不是null 。 现在，每一次授权检查都将发送到Gate，而不是因为没有经过身份验证的用户而立即使授权失败。