CakePHP 中的安全性和使用操作

Question

我是 cakephp 新手，我在 cakephp 2.3.5 中做一个 web 应用程序，我的应用程序有几个控制器，每个控制器都有相应的模型。我有带有各自视图的操作，以及其他操作根本没有视图功能的其他操作。

我有两个问题：

• 其中一个这样的动作是删除一个实体，有没有什么方法可以让用户不通过浏览器输入 URL 来执行它的动作（例如.../estudiantes/delete/6）？这意味着只有操作才能启动网页浏览。

• 二，我有几个用户页面属于不同的角色，当然会有特定配置文件不能使用的动作和其他人，为此我在每个控制器上使用“IsAuthorized”功能，使用会话控制每个动作并查看用户及其所扮演的角色，对吗？

Answer 1

第一个问题：是的，只需将删除操作更改为受保护或私有，并且只有控制器中的其他操作可以访问它。或者，如果您尝试将其与 ajax 或 post 一起使用，请将其添加到删除操作中

public function delete($id=null) {
   if ($this->request->is('ajax') || $this->request->is('post'))
        //do delete
   else
       //redirect or throw error or sad face
}

第二个问题：是的。
或者您可以使用插件，例如 ACL。