管理员身份验证检查不起作用

Question

对于我客户的网站，我有一个管理部分——唯一的问题是我的管理路由似乎没有密码保护。我在如何设置用户系统的教程中添加了管理员保护，并在 app_controller.php 中放置了以下代码：

function beforeFilter() {
    // if an admin route is requested and not logged in
    $user = $this->Session->read('User');
    if(isset($this->params['admin']) && $this->params['admin'] && is_null($user)) {
        // set Flash and redirect to login page
        $this->Session->setFlash('You need to be logged in for that action.','default',array('class'=>'flash_bad'));
        $this->redirect(array('controller'=>'users','action'=>'login','admin'=>FALSE));
    }
}

& 在我的 app/config/routes.php 我有这个：

Router::connect('/login', array('controller' => 'users', 'action' => 'login'));  
Router::connect('/admin/logout', array('controller' => 'users', 'action' => 'logout'));

我很确定这是为了保护而遗漏了一些东西。

我仍然可以在不登录的情况下访问其他管理区域，即 theowlhouse.com.au/admin/bookings。

我做错了什么？用户模型的管理页面是唯一受保护的页面。

谢谢:)

Answer 1

您似乎将 prefix routing 与使用 auth component 混淆了。请注意，前缀路由在 1.3 版之前称为“管理员路由”。

您无需使用管理员路由即可使用 auth 组件。让我们从设置 auth 组件开始。在您的应用控制器中，确保将其包含在您的组件数组中：

var $components = array('Auth');

完成此操作后，除非用户已登录，否则用户将被定向到登录页面。要允许匿名用户访问操作，您可以调用 $this->Auth->allow('action name'); 例如，假设您想要允许未经身份验证的用户在您的项目控制器中使用 index() 和 view() 操作，但不能使用 add() 或 edit()。在您的 items_controller.php 中，您将设置 beforeFilter() 来进行调用：

function beforeFilter() {
    parent::beforeFilter();
    $this->Auth->allow(array(
        'index',
        'view'
    ));
}