セッションによるログインアクションからのアクセス許可を処理します。

Question

私は学生が自分のデータ（プロファイルのような）を管理できるcakePHPアプリケーションを構築しています。 「ビュー」アクションに他の学生へのアクセスを拒否するために私の考えはこれです： （students_controller.php）

function view($id = null) { 
     //We check the permissions so a student cannot browse other student's pages 
      $studentid=$this->Student->field('id',array('user_id'=>$this->Session->read('Auth.User.id'))); 
     if (!$id) { 
      $this->Session->setFlash(__('Invalid student', true)); 
      $this->redirect(array('action' => 'add')); 
      } 

      if ($this->Auth->user('id') <> ($this->data['Student']['user_id'])){ 
       $this->Session->setFlash(__('You are not authorized to access this page,not allowed', true)); 
      $this->redirect(array('controller' => 'users','action' => 'logout')); 
      } 
     $this->set('student', $this->Student->read(null, $id)); 
    } 

私のログインアクションで、私はこのコードを持っているので、問題は（私が推測する）来る： （users_controller.php）

function login() { 
     $studentid= $this->User->Student->field('id',array('user_id'=>$this->Session->read('Auth.User.id'))); 
     $studentformactivated=$this->User->Student->field('form_activated',array('user_id'=>$this->Session->read('Auth.User.id'))); 

     if ($this->Session->read('Auth.User')) { 
      if($this->Session->read('Auth.User.group_id') == '1') 
       $this->redirect(array('controller'=>'specializations', 'action' => 'index')); 
      else if ($this->Session->read('Auth.User.group_id') == '2') 
       $this->redirect(array('controller'=>'specializations', 'action' => 'index')); 
      else if ($this->Session->read('Auth.User.group_id') == '3') 
       if ($studentformactivated == '1') 
        $this->redirect(array('controller'=>'students', 'action' => 'view',$studentid)); 
       else 
        $this->redirect(array('controller'=>'students', 'action' => 'add')); 
      $this->Session->setFlash('You are logged in!'); 
      $this->redirect('/', null, false); 
     } 

} 

ので、（「追加」アクションが行われた場合）「ビュー」アクションにリダイレクトされ、ビューのアクションで、我々はセッションからの情報を取っているでは毎回学生ログイン、それはログインアクションを行っている間にこの情報を取得できないようです（SQLログにはSELECT Student。 id FROM students AS Student WHERE user_id IS NULL LIMIT 1だから、user_idを取得していません）。

さて、質問：それは私がそれを行う初めてだと、おそらくがあるので、すべての

• まず、私は、あなたが許可制御を管理するこの方法についてどう思いますか知りたいのですがそれを行う他の簡単な方法。

• ログイン操作の直後にユーザーセッションから情報を取得できないとすればいいですか？

  if (user_is_logged_in){ 
      if ($this->Auth->user('id') <> ($this->data['Student']['user_id'])){ 
       $this->Session->setFlash(__('You are not authorized to access this page,not allowed', true)); 
      $this->redirect(array('controller' => 'users','action' => 'logout')); 
       } 
      } 
  

それは私がそれを解決するために見るだけのことだ：

はビュー機能でのような何かを行うには良い解決策になります。しかし、私は（user_is_logged_in）条件のために（$ this-> Session-> check（ 'Auth.User'））しようとしましたが、うまくいきませんでした... ありがとうございました！ ALf。 ----------------------------------------- EDIT ----- -------------------------- これについて議論したところ、ソリューションはAppController beforeFilterにコードを追加しているようです。それはまだよくリダイレ​​クトされていない、おそらく引数が渡されたためですか？私は考えがなくなった...

Answer 1

このプロファイルは学生モデルであると仮定すると、なぜこれを行うことができないのですか？

class StudentsController extends Model { 
function view($id = null) { 
    if($this->Auth->User('id') != $id) // bad, redirect them to safe page 
    $this->redirect('/badaccess/denied'); 
} 
} 

$ idは学生プロフィールのIDなので、ログインしたユーザーのIDと照合してください。

Answer 2

これが役立つかどうかわかりませんが、私は現在ログイン時に余分な情報が必要なシステムで作業しています。私の場合は、同じユーザーテーブル（ちょうど余分なフィールド）からのものでしたが、他のテーブル/モデルでも動作します。私はこれを行うには、var $uses = array('User, 'Student');を先頭に置かなければならないと仮定します。ユーザーのコントローラで

私は、次のしている：

function login(){ 
    ... 
     $this->Session->write('Auth.User.type', $this->User->field('type')); 
     $this->Session->write('Auth.User.isapproved', 
      $this->User->field('isapproved')); 
    ... 
} 

を明らかに、あなたは

その後、それらの線に沿って

$this->Session->write('Auth.User.student_id', 
    $this->User->Student->field('id',array('user_id'=>$this->User->field('id'))); 

か何かのようなものにこれらを変更する必要があると思います上記の答えと同様にif($this->Auth->User('student_id') != $id)でアクセスできるはずです。

これがうまくいかないかどうかわかりません。私は現在この問題に遭遇したときに私自身の問題に対する提案を探しています。私はそれが正しいかどうかを調べる時間がありません:)