Laravel Admin auth

E1000

Merhabalar. ben laravelde yeniyim. kendimi gelistirmek icin kucuk bu blog scripti yazmaga basladim. ama ilk baslarda biraz takildim.

mysql de users ve admin table ayri olacak. user lerin siteye giris yapip yapmadigini Auth::check() ve ya giris yaparken Auth::attemt() ile kontrol ede biliyoruz.

ama mesela benim admin tablosu blog_admin adli tabloda. ve admin panele giris yaparken ve ya log in olup olmadigini kontrol ederken nasil yapacagim? bunun icin kendim bir controller model ile class olusturmaliyimmi?

yoksa laravelin default Auth clasi ile bunu hall ede bilirmiyim? tesekkur ederim onceden

mgsmus

users isimli genel bir tablonuz olacak ve bu tabloda tüm kullanıcılar yer alacak. Kabaca [id, role, username, password, email, name, surname] sütunlarını barındıracak mesela. Ayrıca kullanıcılara rol (tablodaki role sütunu) vereceksiniz superuser, admin, moderator, member... gibi. Bunu dışında eğer kullanıcıların ekstra bilgileri (adres, telefon, eğitim bilgileri, bülten aboneliği vs...) olacaksa onlar için ayrı bir tablo oluşturacaksınız. mesela member_details gibi. İçerisinde user_id diye bir sütunla da users tablosu ile bağlarsınız. Genellikle dinamik roller için ayrıca bir roles isimli tablo da oluşturulur ama oluşturduğunuz rollerin yetkileri değişmeyecekse gerek yok. users tablosundaki role sütununu enum(admin,member) diye de oluşturabilirsiniz. Zaten bilgileriniz arttıkça admin-user-role ilişkisi, neyi nasıl yapmanız gerektiği de şekillenir.

Bu şekilde yaptığınız taktirde Auth sınıfını rahatlıkla kullanabilirsiniz. Tüm kullanıcılar aynı yerden giriş yapar, sonra siz giriş yapan kullanıcının rolüne göre yönlendirisiniz, bloklarsınız vs.

Bazı arkadaşlar sentry, confide gibi paketler önerebilir ama ben derim ki önce kendiniz sistemi oluşturarak laravel bilgilerinizi arttırın. Dediğim gibi sonra ihtiyaçlarınıza göre neyi nasıl kullanacağınızı bileceksiniz.

E1000

Cok tesekkur ederim kardes. yazdiginiz ornek cok guzel bi fikir. ama bu bence biraz buyuk sitelerde ve irelide daha da gelistirilebilecek sitelerde daha uygun olur. ama bense hele ki ilk bawladigim icin laravel ogrenmeye kucuk bi blog scripti yazmak istiyorum. sizce bu yonetici ve userlerin ayni tabloda olmasinin security icin bi sakincasi yok mu? ben secure tarafdan admin ve user larin ayri ayri tablolarda saklanilmasini duwunmuwdum. heme bir birine kariwmaz diye. bir daha tesekkur ederik degerli fikirleriniz icin

mgsmus

Ben de eskiden hep ayırıyordum ama aynı tabloda tutmaya başladıktan sonra işlerimi daha kolaylaştırdığımı anladım:
- Kullanıcı adı, email... gibi eşsiz olması gereken sütunları unique index yaparak aynısından eklenmesini kolayca engellersiniz, kontrol etmeniz kolaylaşır. Öteki türlü iki tabloda da var mı yok mu ekstradan kontrol ettirmeniz gerekecek.
- Admin girişi ile kullanıcı girişi adreslerini ayırmak size kalır. Öteki türlü ayrı iki giriş yapmak zorunda kalacaksınız ya da yine gereksiz tablo kontrolleri ve karışık algoritmalar ile uğraşacaksınız.
- Admin ve kullanıcı için ayrı ayrı şifre hatırlatma, ban vs... gibi işlemlerle uğraşmayacaksınız. Öteki türlü admin için ayrı member için ayrı yapmak durumunda kalacaksınız.
- Diyelim ki bir okul yönetimi sistemi hazırladınız. Okulun müdürü admin olacak ama müdür aynı zamanda okulda öğretmen, bir de bakmışsınız çocuğu da o okulda yani aynı zamanda da veli. Şimdi ne yapacağız, bir kullanıcı için 3 farklı hesap mı açalım?

Benim size tavsiyem aynı tabloda tutun. Şimdilik sadece dinamik rollere vs girmeyin. Daha az efor sarfedeceğinize, daha rahat çalışacağınıza emin olabilirsiniz. Ben nerden baksanız 20'ye yakın iş yapmışımdır, adminler ayrı tabloda üyeler ayrı tabloda olacak şekilde. Öyle durumlarla karşılaştım ki çoğu kez işi bırakmayı, baştan başlamayı düşünüp oturduğum yerde ter attığım zamanlar oldu.

Ekleme:
Ayrıca laravel.com'un forumları laravel.io/forum adresine taşındı ve laravel.io laravel ile hazırlanmış açık kaynak kodlu bir site. Controller, model, view... konularında, "neyi nereye nasıl yazmalıyım" gibi konularda size yardımcı olacaktır:
https://github.com/LaravelIO/laravel.io

E1000

Ellerin dert gormesin kardesim. cok guzel ve cok zekiice anlatmissin. wimdi tam olarak bende ayni tabloda tutmam icin tam olarak karar verdim. tesekkurler bir daha.

pellempus

E1000 wrote:Merhabalar. ben laravelde yeniyim. kendimi gelistirmek icin kucuk bu blog scripti yazmaga basladim. ama ilk baslarda biraz takildim.

mysql de users ve admin table ayri olacak. user lerin siteye giris yapip yapmadigini Auth::check() ve ya giris yaparken Auth::attemt() ile kontrol ede biliyoruz.

ama mesela benim admin tablosu blog_admin adli tabloda. ve admin panele giris yaparken ve ya log in olup olmadigini kontrol ederken nasil yapacagim? bunun icin kendim bir controller model ile class olusturmaliyimmi?

yoksa laravelin default Auth clasi ile bunu hall ede bilirmiyim? tesekkur ederim onceden

Aynı tabloda kullanıyorsan ve kullanıcı rolleri var ise dikkat etmen gereken en önemli güvenlik problemi "mass assignment". Yani kötü niyetli kullanıcı rolünü admin olarak değiştirebilir. Laravel bu konuda "fillable" ve "guarded" seçeneklerii sunmuş. İnternette arattım ancak Laravel ile "mass assignment" koruması için güzel bir örnek bulamadım. İngilizcen var ise şu makaleyi okumanı tavsiye ederim ...

http://tournasdimitrios1.wordpress.com/2013/05/14/a-quick-overview-of-eloquents-laravel-mass-assignment-protection-2/

Mass Assignment bir Active Record açığıdır ve Eloquent Active Record tabanlı olduğu için aynı açık söz konusudur.
Aşağıdaki video Rails ve Active Record ile nasıl "admin" hack yaparsınız konusunda çok güzel bir demonstrasyon yapmış. Sadece mantığını anlaman için, kodların PHP ve Laravel olmaması önemli değil Bu video'da göreceğin "attr_protected" Laravel'de "Guarded" denen kavramdır.

http://railscasts.com/episodes/26-hackers-love-mass-assignment

Laravel Türkiye Forumları, ücretsiz forum uygulaması Flarum ile yapılmıştır.