Yii2.0 RESTful Web服務（3）

在建立資源類和指定資源格輸出式化後，下一步就是建立控制器操作將資源通過RESTful APIs展現給終端使用者。

Yii 提供兩個控制器基類來簡化建立RESTful 操作的工作:yii\rest\Controller 和 yii\rest\ActiveController， 兩個類的差別是後者提供一系列將資源處理成ActiveRecord(關於ActiveRecord)的操作。 因此如果使用ActiveRecord內建的操作會比較方便，可考慮將控制器類 繼承yii\rest\ActiveController，它會讓你用最少的程式碼完成強大的RESTful APIs.

yii\rest\ActiveController 額外提供一下功能:

• 一系列常用操作: index, view, create, update, delete, options;
• 對操作和資源進行使用者認證.

建立控制器類 

當建立一個新的控制器類，控制器類的命名最好使用資源名稱的單數格式，例如，提供使用者資訊的控制器 可命名為UserController.

建立新的操作和Web應用中建立操作類似，唯一的差別是Web應用中呼叫render()方法渲染一個檢視作為返回值， 對於RESTful操作直接返回資料，yii\rest\Controller::serializer (關於Serializer)和 yii\web\Response 會處理原始資料到請求格式的轉換，例如

public function actionView($id)
{
    return User::findOne($id);
}

過濾器 

yii\rest\Controller提供的大多數RESTful API功能通過過濾器實現. 特別是以下過濾器會按順序執行：

• yii\filters\ContentNegotiator
• yii\filters\VerbFilter
• yii\filters\AuthMethod
• yii\filters\RateLimiter

這些過濾器都在yii\rest\Controller::behaviors()方法中宣告， 可覆蓋該方法來配置單獨的過濾器，禁用某個或增加你自定義的過濾器。 例如，如果你只想用HTTP 基礎認證，可編寫如下程式碼：

use yii\filters\auth\HttpBasicAuth;

public function behaviors()
{
    $behaviors = parent::behaviors();
    $behaviors['authenticator'] = [
        'class' => HttpBasicAuth::className(),
    ];
    return $behaviors;
}

繼承 ActiveController

如果你的控制器繼承yii\rest\ActiveController，應設定yii\rest\ActiveController::modelClass 屬性 為通過該控制器返回給使用者的資源類名，該類必須繼承yii\db\ActiveRecord.

自定義操作 

yii\rest\ActiveController 預設提供一下操作:

• yii\rest\IndexAction: 按頁列出資源;
• yii\rest\ViewAction: 返回指定資源的詳情;
• yii\rest\CreateAction: 建立新的資源;
• yii\rest\UpdateAction: 更新一個存在的資源;
• yii\rest\DeleteAction: 刪除指定的資源;
• yii\rest\OptionsAction: 返回支援的HTTP方法.

所有這些操作通過yii\rest\ActiveController::actions() 方法申明，可覆蓋actions()方法配置或禁用這些操作， 如下所示：

public function actions()
{
    $actions = parent::actions();

    // 禁用"delete" 和 "create" 操作
    unset($actions['delete'], $actions['create']);

    // 使用"prepareDataProvider()"方法自定義資料provider 
    $actions['index']['prepareDataProvider'] = [$this, 'prepareDataProvider'];

    return $actions;
}

public function prepareDataProvider()
{
    // 為"index"操作準備和返回資料provider
}

執行訪問檢查 

通過RESTful APIs顯示資料時，經常需要檢查當前使用者是否有許可權訪問和操作所請求的資源， 在yii\rest\ActiveController中，可覆蓋yii\rest\ActiveController::checkAccess()方法來完成許可權檢查。

/**
 * Checks the privilege of the current user. 檢查當前使用者的許可權
 *
 * This method should be overridden to check whether the current user has the privilege
 * to run the specified action against the specified data model.
 * If the user does not have access, a ForbiddenHttpException should be thrown.
 * 本方法應被覆蓋來檢查當前使用者是否有許可權執行指定的操作訪問指定的資料模型
 * 如果使用者沒有許可權，應丟擲一個ForbiddenHttpException異常
 *
 * @param string $action the ID of the action to be executed
 * @param \yii\base\Model $model the model to be accessed. If null, it means no specific model is being accessed.
 * @param array $params additional parameters
 * @throws ForbiddenHttpException if the user does not have access
 */
public function checkAccess($action, $model = null, $params = [])
{
    // 檢查使用者能否訪問 $action 和 $model
    // 訪問被拒絕應丟擲ForbiddenHttpException 
}

checkAccess() 方法預設會被yii\rest\ActiveController預設操作所呼叫，如果建立新的操作並想執行許可權檢查， 應在新的操作中明確呼叫該方法。

相比於Laravel框架的RESTful風格，Yii對於RESTful的封裝程度要高的多，譬如說對於介面的宣告，Laravel需要在路由設定上花較多的功夫，而Yii的方式則更偏向於RESTful結合MVC的MVC一方，控制器始終占主導地位，由於覆蓋了基本的CURD操作，所以說在單表操作的實現方面確實十分簡便。

Yii實現的RESTful對於許可權的控制是通過ActiveController::checkAccess()的過載實現的，不同的是Laravel則是通過一個Policy的設定，然後在AuthServiceProvider中實現，每一步對應發生的時候都將會檢查其安全性，這個也是與ROR多約定少配置的思路吻合的。