Cakephp 2.6：角色明智的isAuthorized不起作用

Question

我在UsersController 中有几种方法，我正在尝试赋予角色明智的访问权限。 如果

1. user_types == 1（用户可以访问所有方法）
2. user_types == 2（用户无法访问admin_list方法。
3. user_types == 3（用户只能访问forget_password方法）

在控制器中我尝试了下面的代码

public $components = array('Session','RequestHandler','Auth'=>array(

            'loginRedirect' => array('controller' => 'users','action' => 'dashboard'),
            'logoutRedirect' => array('controller' => 'users','action' => 'login'),
            'authError'=>'You can not access this page!!',
            'authenticate' => array(
            'Form' => array(
                'fields' => array(
                  'username' => 'email', //Default is 'username' in the userModel
                  'password' => 'password'  //Default is 'password' in the userModel
                )
              ),
            ),
            'authorize' => array('Controller')
        ));

        public function isAuthorized($user) {
            return true;
        }

在过滤器之前我允许

    $this->Auth->allow('login','logout');

现在在UserController我尝试了下面的代码

public function isAuthorized($user) {
    // Admin can access every action
    if (isset($user['usertype_id']) && $user['usertype_id'] == 1) {
            return true;
    }
    else if(isset($user['usertype_id']) && $user['usertype_id'] == 2)
    {
         $this->Auth->deny('admin_list');
    }else
        $this->Auth->allow('change_password');

    return parent::isAuthorized($user);
    }

问题是它总是返回 true。如果我使用 user_type = 3 登录，我可以访问所有方法。

Answer 1

Auth::allow() 和 Auth::deny() 旨在定义哪些操作允许非登录用户访问（身份验证），并且不用于授权。

为此，您必须在控制器中定义isAuthorized()，就像您所做的那样。但是，这个方法预计会返回true（登录的用户/组被授权访问操作）或false（授权被拒绝）。

您的UsersController::isAuthorized() 方法应改写为：

public function isAuthorized($user) {

    if (!isset($user['usertype_id'])) {
        return false;
    }

    if($user['usertype_id'] == 2 && $this->action=='admin_list') {
       return false;           
    }

    if($user['usertype_id'] == 3) && $this->action!='forget_password'){
        return false;
    }

    return true;
}

有关更多信息，请参阅食谱ControllerAuthorize。