使用 Laravel Gate 授權方式實現一個基於使用者角色的部落格釋出系統

zhangbao發表於2017-07-18

參考連結：https://laravel-news.com/authorization-gates

本文使用 Laravel 的 Gate 授權方式實現一個基於使用者角色的部落格釋出系統。

在系統包含兩個使用者角色（作者 和 編輯），它們對應的角色許可權如下：

作者能建立部落格
作者能更新自己的部落格
作者能釋出/不釋出自己的部落格
作者能刪除自己的部落格
編輯能更新所有部落格
編輯能釋出/不釋出所有部落格
編輯能刪除所有部落格

建立專案

laravel new blog

或者使用 composer create-project

composer create-project --prefer-dist laravel/laravel blog

配置資料庫連線

修改 .env 檔案中的資料庫連線資訊。

...
APP_URL=http://localhost
...
DB_CONNECTION=mysql
DB_HOST=127.0.0.1
DB_PORT=3306
DB_DATABASE=dbname
DB_USERNAME=dbuser
DB_PASSWORD=yoursecretdbuserpassword
...

資料庫部分

建立 Post Model、posts 表的遷移檔案和 PostController。

php artisan make:model Post -m -c

開啟遷移檔案，補充 up 方法。

Schema::create('posts', function (Blueprint $table) {
    $table->increments('id');
    $table->string('title');
    $table->string('slug')->unique();
    $table->text('body');
    $table->boolean('published')->default(false);
    $table->unsignedInteger('user_id');
    $table->timestamps();

    $table->foreign('user_id')->references('id')->on('users');
});

新增 roles 表和關係表 user_roles。

roles 表

建立 Role Model 和 Role 遷移檔案

php artisan make:model Role -m

開啟遷移檔案，補充 up 方法。

Schema::create('roles', function (Blueprint $table) {
    $table->increments('id');
    $table->string('name');
    $table->string('slug')->unique();
    $table->jsonb('permissions'); // jsonb deletes duplicates
    $table->timestamps();
});

建立 user_roles 表遷移檔案

php artisan make:migration create_user_roles_table --create=user_roles

補充 up 方法

public function up()
{
    Schema::create('user_roles', function (Blueprint $table) {
        $table->unsignedInteger('user_id');
        $table->unsignedInteger('role_id');
        $table->timestamps();

        $table->unique(['user_id','role_id']);
        $table->foreign('user_id')->references('id')->on('users')->onDelete('cascade');
        $table->foreign('role_id')->references('id')->on('roles')->onDelete('cascade');
    });
}

種子類

建立 RolesTableSeeder。

php artisan make:seeder RolesTableSeeder

補充 run 方法。

use App\Role;

class RolesTableSeeder extends Seeder
{

    public function run()
    {
        $author = Role::create([
            'name' => '作家',
            'slug' => 'author',
            'permissions' => [
                'create-post' => true,
            ]
        ]);
        $editor = Role::create([
            'name' => '編輯',
            'slug' => 'editor',
            'permissions' => [
                'update-post' => true,
                'publish-post' => true,
                'delete-post' => true,
            ]
        ]);
    }

}

在 DatabaseSeeder 中註冊 RolesTableSeeder。

$this->call(RolesTableSeeder::class);

`User` 和 `Role` Model

Role Model 裡的內容如下。

class Role extends Model
{
    protected $fillable = [
        'name', 'slug', 'permissions',
    ];
    protected $casts = [
        'permissions' => 'array',
    ];

    public function users()
    {
        return $this->belongsToMany(User::class, 'user_roles', 'role_id', 'user_id');
    }

    public function hasAccess($permission)
    {
        return $this->hasPermission($permission);
    }

    private function hasPermission($permission)
    {
        return isset($this->permissions[$permission]) ? $this->permissions[$permission] : false;
    }
}

User Model 修改內容如下。

class User extends Authenticatable
{
    use Notifiable;

    protected $fillable = [
        'name', 'email', 'password',
    ];

    protected $hidden = [
        'password', 'remember_token',
    ];

    public function roles()
    {
        return $this->belongsToMany(Role::class, 'user_roles', 'user_id', 'role_id');
    }

    /**
     * Checks if User has access to $permission.
     */
    public function hasAccess($permission)
    {
        // check if the permission is available in any role
        foreach ($this->roles as $role) {
            if($role->hasAccess($permission)) {
                return true;
            }
        }
        return false;
    }

    /**
     * Checks if the user belongs to role.
     */
    public function inRole($roleSlug)
    {
        return $this->roles()->where('slug', $roleSlug)->count() == 1;
    }
}

執行遷移並注入資料

php artisan migrate --seed

認證系統

建立認證系統。

php artisan make:auth

改寫註冊

在 RegisterController 中寫 showRegistrationForm 方法（覆蓋掉在 RegistersUsers trait 中定義的同名方法）。

Use App/Role;

...

public function showRegistrationForm()
{
    $roles = Role::orderBy('name')->pluck('name', 'id');
    return view('auth.register', compact('roles'));
}

編輯 resources/views/auth/register.blade.php，新增角色選擇項。

...

<div class="form-group{{ $errors->has('role') ? ' has-error' : '' }}">
    <label for="role" class="col-md-4 control-label">User role</label>

    <div class="col-md-6">
        <select id="role" class="form-control" name="role" required>
            @foreach($roles as $id => $role)
                <option value="{{ $id }}">{{ $role }}</option>
            @endforeach
        </select>

        @if ($errors->has('role'))
            <span class="help-block">
                <strong>{{ $errors->first('role') }}</strong>
            </span>
        @endif
    </div>
</div>

...

更新 RegisterController 中的 validator方法。

...

protected function validator(array $data)
{
    return Validator::make($data, [
        'name' => 'required|max:255',
        'email' => 'required|email|max:255|unique:users',
        'password' => 'required|min:6|confirmed',
        'role' => 'required|exists:roles,id', // validating role
    ]);
}

...

修改 create 方法，加入儲存使用者角色的業務邏輯。

...

protected function create(array $data)
{
    $user = User::create([
        'name' => $data['name'],
        'email' => $data['email'],
        'password' => bcrypt($data['password']),
    ]);
    $user->roles()->attach($data['role']);
    return $user;
}

...

定義策略

修改 AuthServiceProvider，新增、註冊與操作播客相關的策略。

use App\Post;

...

public function boot()
{
    $this->registerPolicies();
    $this->registerPostPolicies();
}

public function registerPostPolicies()
{
    Gate::define('create-post', function ($user) {
        return $user->hasAccess('create-post');
    });
    Gate::define('update-post', function ($user, Post $post) {
        return $user->hasAccess('update-post') or $user->id == $post->user_id;
    });
    Gate::define('publish-post', function ($user, Post $post) {
        return $user->hasAccess('publish-post') or $user->id == $post->user_id;;
    });
    Gate::define('delete-post', function ($user, Post $post) {
        return $user->hasAccess('delete-post') or $user->id == $post->user_id;
    });
    Gate::define('see-all-drafts', function ($user) {
        return $user->inRole('editor');
    });
}

定義路由

修改 routes/web.php，新增下面的路由。

Route::get('/posts', 'PostController@index')->name('list_posts');
Route::group(['prefix' => 'posts'], function () {
    Route::get('/drafts', 'PostController@drafts')
        ->name('list_drafts')
        ->middleware('auth');
    Route::get('/show/{id}', 'PostController@show')
        ->name('show_post');
    Route::get('/create', 'PostController@create')
        ->name('create_post')
        ->middleware('can:create-post');
    Route::post('/create', 'PostController@store')
        ->name('store_post')
        ->middleware('can:create-post');
    Route::get('/edit/{post}', 'PostController@edit')
        ->name('edit_post')
        ->middleware('can:update-post,post');
    Route::post('/edit/{post}', 'PostController@update')
        ->name('update_post')
        ->middleware('can:update-post,post');
    Route::post('/delete/{post}', 'PostController@destory')
        ->name('delete_post')
        ->middleware('can:delete-post,post');
    // using get to simplify
    Route::get('/publish/{post}', 'PostController@publish')
        ->name('publish_post,post')
        ->middleware('can:publish-post');
    Route::get('/unpublish/{post}', 'PostController@unpublish')
        ->name('unpublish_post')
        ->middleware('can:publish-post,post');
});

部落格

`Post` Model

...

class Post extends Model
{
    protected $fillable = [
        'title', 'slug', 'body', 'user_id',
    ];

    public function owner()
    {
        return $this->belongsTo(User::class);
    }

    public function scopePublished($query)
    {
        return $query->where('published', true);
    }

    public function scopeUnpublished($query)
    {
        return $query->where('published', false);
    }
}

新增 `PostController` 裡的方法和相關檢視檔案

部落格列表

use App\Post;

...

public function index()
{
    $posts = Post::published()->latest()->paginate();
    return view('posts.index', compact('posts'));
}

...

建立 resources/views/posts/index.blade.php

@extends('layouts.app')

@section('content')
<div class="container">
    <div class="row">
        <div class="col-md-8 col-md-offset-2">
            <div class="panel panel-default">
                <div class="panel-heading">
                    Posts
                    @can('create-post')
                    <a class="pull-right btn btn-sm btn-primary" href="{{ route('create_post') }}">New</a>
                    @endcan
                </div>

                <div class="panel-body">
                    <div class="row">
                    @foreach($posts as $post)
                        <div class="col-sm-6 col-md-4">
                            <div class="thumbnail">
                            <div class="caption">
                                <h3><a href="{{ route('show_post', ['id' => $post->id]) }}">{{ $post->title }}</a></h3>
                                <p>{{ str_limit($post->body, 50) }}</p>
                                @can('update-post', $post)
                                <p>
                                    <a href="{{ route('edit_post', ['id' => $post->id]) }}" class="btn btn-sm btn-default" role="button">Edit</a> 
                                </p>
                                @endcan
                            </div>
                            </div>
                        </div>
                    @endforeach
                    </div>
                </div>
            </div>
        </div>
    </div>
</div>
@endsection

建立部落格

...

public function create()
{
    return view('posts.create');
}

...

建立 posts\create.blade.php。

@extends('layouts.app')

@section('content')
<div class="container">
    <div class="row">
        <div class="col-md-8 col-md-offset-2">
            <div class="panel panel-default">
                <div class="panel-heading">New Post</div>

                <div class="panel-body">
                    <form class="form-horizontal" role="form" method="POST" action="{{ route('store_post') }}">
                        {{ csrf_field() }}

                        <div class="form-group{{ $errors->has('title') ? ' has-error' : '' }}">
                            <label for="title" class="col-md-2 control-label">Title</label>

                            <div class="col-md-9">
                                <input id="title" type="text" class="form-control" name="title" value="{{ old('title') }}" required autofocus>
                                @if ($errors->has('title'))
                                    <span class="help-block">
                                        <strong>{{ $errors->first('title') }}</strong>
                                    </span>
                                @endif
                            </div>
                        </div>

                        <div class="form-group{{ $errors->has('body') ? ' has-error' : '' }}">
                            <label for="body" class="col-md-2 control-label">Body</label>

                            <div class="col-md-9">
                                <textarea name="body" id="body" cols="30" rows="10" class="form-control" required>{{ old('body') }}</textarea>
                                @if ($errors->has('body'))
                                    <span class="help-block">
                                        <strong>{{ $errors->first('body') }}</strong>
                                    </span>
                                @endif
                            </div>
                        </div>

                        <div class="form-group">
                            <div class="col-md-6 col-md-offset-2">
                                <button type="submit" class="btn btn-primary">
                                    Create
                                </button>
                                <a href="{{ route('list_posts') }}" class="btn btn-primary">
                                    Cancel
                                </a>
                            </div>
                        </div>
                    </form>
                </div>
            </div>
        </div>
    </div>
</div>
@endsection

儲存部落格

use Auth;
use App\Http\Requests\StorePost as StorePostRequest;

...

public function store(StorePostRequest $request)
{
    $data = $request->only('title', 'body');
    $data['slug'] = str_slug($data['title']);
    $data['user_id'] = Auth::user()->id;
    $post = Post::create($data);
    return redirect()->route('edit_post', ['id' => $post->id]);
}

...

建立處理儲存部落格時使用的請求類 StorePostRequest。

php artisan make:request StorePostRequest

編輯 app/Http/Requests/StorePostRequest.php。

public function authorize()
{
    return true; // gate will be responsible for access
}

public function rules()
{
    return [
        'title' => 'required|unique:posts',
        'body' => 'required',
    ];
}

部落格草稿列表

use Gate;

...

public function drafts()
{
    $postsQuery = Post::unpublished();
    if(Gate::denies('see-all-drafts')) {
        $postsQuery = $postsQuery->where('user_id', Auth::user()->id);
    }
    $posts = $postsQuery->paginate();
    return view('posts.drafts', compact('posts'));
}

...

建立 posts/drafts.blade.php。

@extends('layouts.app')

@section('content')
<div class="container">
    <div class="row">
        <div class="col-md-8 col-md-offset-2">
            <div class="panel panel-default">
                <div class="panel-heading">
                    Drafts <a class="btn btn-sm btn-default pull-right" href="{{ route('list_posts') }}">Return</a>
                </div>

                <div class="panel-body">
                    <div class="row">
                    @foreach($posts as $post)
                        <div class="col-sm-6 col-md-4">
                            <div class="thumbnail">
                            <div class="caption">
                                <h3><a href="{{ route('show_post', ['id' => $post->id]) }}">{{ $post->title }}</a></h3>
                                <p>{{ str_limit($post->body, 50) }}</p>
                                <p>
                                @can('publish-post', $post)
                                    <a href="{{ route('publish_post', ['id' => $post->id]) }}" class="btn btn-default" role="button">Publish</a> 
                                @endcan
                                    <a href="{{ route('edit_post', ['id' => $post->id]) }}" class="btn btn-default" role="button">Edit</a> 
                                </p>
                            </div>
                            </div>
                        </div>
                    @endforeach
                        <div class="col-sm-12 col-md-12">
                            {{ $posts->links() }}
                        </div>
                    </div>
                </div>
            </div>
        </div>
    </div>
</div>
@endsection

修改 layouts/app.blade.php，新增“草稿”選單。

...

<ul class="dropdown-menu" role="menu">
    <li>
        <a href="{{ route('list_drafts') }}">Drafts</a>

...

編輯部落格

新增編輯部落格的方法 update。

use App\Http\Requests\UpdatePostRequest as UpdatePostRequest;

...

public function edit(Post $post)
{
    return view('posts.edit', compact('post'));
}

public function update(Post $post, UpdatePostRequest $request)
{
    $data = $request->only('title', 'body');
    $data['slug'] = str_slug($data['title']);
    $post->fill($data)->save();
    return back();
}

建立處理更新部落格時使用的請求類 UpdatePostRequest。

php artisan make:request UpdatePostRequest

編輯 app/Http/Requests/UpdatePostRequest.php

use Illuminate\Validation\Rule;

...

public function authorize()
{
    return true;
}

public function rules()
{
    $id = $this->route('post')->id;
    return [
        'title' => [
            'required',
            Rule::unique('posts')->where('id', '<>', $id),
        ],
        'body' => 'required',
    ];
}

建立檢視 posts/edit.blade.php。

@extends('layouts.app')

@section('content')
<div class="container">
    <div class="row">
        <div class="col-md-8 col-md-offset-2">
            <div class="panel panel-default">
                <div class="panel-heading">Update Post</div>

                <div class="panel-body">
                    <form class="form-horizontal" role="form" method="POST" action="{{ route('update_post', ['post' => $post->id]) }}">
                        {{ csrf_field() }}

                        <div class="form-group{{ $errors->has('title') ? ' has-error' : '' }}">
                            <label for="title" class="col-md-2 control-label">Title</label>

                            <div class="col-md-9">
                                <input id="title" type="text" class="form-control" name="title" value="{{ old('title', $post->title) }}" required autofocus>

                                @if ($errors->has('title'))
                                    <span class="help-block">
                                        <strong>{{ $errors->first('title') }}</strong>
                                    </span>
                                @endif
                            </div>
                        </div>

                        <div class="form-group{{ $errors->has('body') ? ' has-error' : '' }}">
                            <label for="body" class="col-md-2 control-label">Body</label>

                            <div class="col-md-9">
                                <textarea name="body" id="body" cols="30" rows="10" class="form-control" required>{{ old('body', $post->body) }}</textarea>
                                @if ($errors->has('body'))
                                    <span class="help-block">
                                        <strong>{{ $errors->first('body') }}</strong>
                                    </span>
                                @endif
                            </div>
                        </div>

                        <div class="form-group">
                            <div class="col-md-6 col-md-offset-2">
                                <button type="submit" class="btn btn-primary">
                                    Update
                                </button>
                                @can('publish-post', $post)
                                    @if (!$post->published)
                                        <a href="{{ route('publish_post', ['post' => $post->id]) }}" class="btn btn-primary">
                                            Publish
                                        </a>
                                    @else
                                        <a href="{{ route('unpublish_post', ['post' => $post->id]) }}" class="btn btn-primary">
                                            Unpublish
                                        </a>
                                    @endif
                                @endcan
                                <a href="{{ route('list_posts') }}" class="btn btn-primary">
                                    Cancel
                                </a>
                            </div>
                        </div>
                    </form>
                </div>
            </div>
        </div>
    </div>
</div>
@endsection

釋出草稿/不釋出草稿

為 PostController 新增方法 publish 和 unpublish。

...

public function publish(Post $post)
{
    $post->published = true;
    $post->save();
    return redirect()->route('show_post', ['post' => $post->id]);
}

public function unpublish(Post $post)
{
    $post->published = false;
    $post->save();
    return back();
}

...

展示部落格

public function show(Post $post)
{
    $post = Post::findOrFail($id);
    if ($post->published || $post->user_id == Auth::user()->id) {
        return view('posts.show', compact('post'));
    }
    abort(403, 'Unauthorized.');
}

建立 posts/show.blade.php。

@extends('layouts.app')

@section('content')
<div class="container">
    <div class="row">
        <div class="col-md-8 col-md-offset-2">
            <div class="panel panel-default">
                <div class="panel-heading">
                    {{ $post->title }}
                    <a class="btn btn-sm btn-default pull-right" href="{{ route('list_posts') }}">Return</a>
                </div>

                <div class="panel-body">
                    {{ $post->body }}
                </div>
            </div>
        </div>
    </div>
</div>
@endsection

刪除部落格

修改 PostController，新增 destory 方法。

public function destory(Post $post)
{
    $post->delete();
    return redirect()->route('list_post');;
}

修改 posts/edit.blade.php，新增刪除按鈕。

...

<div class="panel-heading">Update Post
    @can('delete-post', $post)
        <a class="pull-right btn btn-sm btn-danger" href="{{ route('delete_post', ['id' => $post->id]) }}"
           onclick="if(confirm('確定刪除嗎？') === false) { return false; } else {
           event.preventDefault(); document.getElementById('delete-post-form').submit();}">
            刪除
        </a>
        <form id="delete-post-form" action="{{ route('delete_post', ['post' => $post->id]) }}" method="POST" style="display: none;">
            {{ csrf_field() }}
        </form>
    @endcan
</div>

...

404 & 403

在 resources/views 下新建 errors 目錄，再在該目錄下新建 404.blade.php 和 403.blade.php 頁面。

404

@extends('layouts.app')

@section('content')
<div class="container">
    <div class="row">
        <div class="col-md-8 col-md-offset-2">
            <div class="panel panel-default">
                <div class="panel-heading">404</div>

                <div class="panel-body">
                    <h2>Not Found</h2>
                </div>
            </div>
        </div>
    </div>
</div>
@endsection

403

@extends('layouts.app')

@section('content')
<div class="container">
    <div class="row">
        <div class="col-md-8 col-md-offset-2">
            <div class="panel panel-default">
                <div class="panel-heading">403</div>

                <div class="panel-body">
                    <h2>This Action is Unauthorized！</h2>
                </div>
            </div>
        </div>
    </div>
</div>
@endsection

使用 Markdown

這裡使用了依賴包 erusev/parsedown，使用它將 Markdown 文字裝換為 HTML。

composer require erusev/parsedown

修改 posts/show.blade.php

<div class="panel-body">
    {!! Parsedown::instance()->text($post->body) !!}
</div>

此刻，你就可以使用 Markdown 寫部落格了。

實現基於角色的授權
2009-07-30
MongoDB 6.0 單例項基於使用者角色實現授權登入
2023-12-04
MongoDB單例
系統多種使用者角色認證登入授權如何實現？
2024-04-06
express基於JWT實現使用者登陸授權
2019-05-08
ExpressJWT
Oracle使用者、授權、角色管理
2015-09-02
Oracle
Hikari：一個基於php的靜態部落格系統
2021-02-05
PHP
[WCF許可權控制]基於Windows使用者組的授權方式[上篇]
2017-10-26
Windows
分享一個新版部落格：基於 Laravel 5.5，React，Antd
2018-12-03
LaravelReact
基於 Laravel5.5 的簡單個人部落格系統
2018-12-29
Laravel
使用者角色許可權系統完整設計（基於shiro）
2017-08-22
社交系統ThinkSNS Plus 1.0.0-alpha.7 釋出，基於 Laravel 的使用者生態系統
2017-09-26
Laravel
Halo 部落格系統 -0.4.0 釋出
2019-01-29
Oracle建立使用者、角色、授權、建表
2018-04-27
Oracle
建立於蘭花和 Laravel 一個部落格。
2017-08-01
Laravel
Shiro實現使用者授權
2024-05-18
作品分享一款基於 Laravel5.8 的優雅部落格系統 CoreBlog
2019-06-27
Laravel
【ASP.NET Core】按使用者角色授權
2023-01-14
ASP.NET
基於角色的許可權系統的問題
2006-11-07
基於 Laravel 模組化現代化個人部落格系統 ModStartBlog v8.4.0
2023-10-31
Laravel
基於 Laravel 搭建使用者邀請系統
2017-06-07
Laravel
使用go搭建一個簡易的部落格系統
2018-06-11
Go
golang 基於 jwt 實現的登入授權
2021-06-20
GolangJWT
基於Docker的MongoDB實現授權訪問
2017-03-11
DockerMongoDB
Laravel+vue免費開源的基於RABC控制的部落格系統
2023-03-05
LaravelVue
一個基於 beego 的，有情懷的部落格
2019-09-16
Go
Laravel——使用者角色許可權控制包 Laravel-permission
2019-04-18
Laravel
X.org釋出最新的基於MIT授權的視窗系統 X11R7.1
2007-08-25
MIT
推薦一個基於Springboot+Vue的開源部落格系統
2019-03-10
Spring BootVue
基於java的文章釋出系統的設計與實現
2021-01-03
Java
Laravel 授權系統 - 自定義引數
2018-06-24
Laravel
Laravel + JWT 實現 API 跨域授權
2018-06-30
LaravelJWTAPI跨域
Oracle中將一個使用者的所有物件授權給另一個使用者
2017-02-19
Oracle物件
使用 React + Koa 打造一個輕量級的部落格系統，呼叫語雀API介面實現
2018-05-16
ReactAPI
關於微信小程式使用者拒絕授權後不再彈出授權視窗
2018-08-22
微信小程式
基於TP3.1個人部落格系統
2019-05-11
MCGS使用者程式雲端授權系統設計
2022-11-08
ASP.NET Core Web API下基於Keycloak的多租戶使用者授權的實現
2024-04-22
ASP.NETWebAPI
Asp.net中基於Forms驗證的角色驗證授權
2007-04-28
ASP.NETORM