Laravel Türkiye Discord Kanalı Forumda kod paylaşılırken dikkat edilmesi gerekenler!Birlikte proje geliştirmek ister misiniz?

Livewire veri güvenliği nasıl sağlanır?

berkerbekman

Livewire ile crud işlemlerimi yapıyorum, JetStream Teams özelliğini kullanıyorum. Kullanıcı bir ekibin içindeyse, o ekiple ilgili crud işlemlerini yapabiliyor.

Başka bir ekip ekranında kullanıcı sağ tık incele yaptıktan sonra update(3) 3 idsi yerine başka birine ait olan update(6) şeklinde kodu düzenleyip fonksiyonu çalıştırınca kendisine ait olmayan bir veriyi düzenleyebiliyor ya da silebiliyor.

Listelemeyi yapabilmek için bir middleware yaptım, bu middleware içinde kullanıcının kendi ekibine ait olmayan veriyi düzenlemesini ve silmesini engelleyebilir miyim?

CurrentTeam middleware ile Brand::all() ile her ekibin kendine ait tüm veriyi çekiyorum, kendine ait olmayan verilerde 403 e düşürmesini istiyorum.

public function handle(Request $request, Closure $next)
    {
        if (Auth::user()) {
            $id = Auth::user()->currentTeam->id;

            Brand::addGlobalScope(function ($builder) use ($id) {
                $builder->whereTeamId($id);
            });
        }
        return $next($request);
    }

GÜNCELLEME

Veriyi çektiğim fonksiyonda sadece find kullanıyordum ekrana hata basıyordu id takıma ait değilse. Şimdi findOrFail ile değiştirdim. 404 basıyor. Kullanımım doğru mudur?

    public function loadModel() {
        $brand = Brand::findOrFail($this->modelId);
        $this->name = $brand->name;
    }

mgsmus

berkerbekman https://laravel.com/docs/8.x/authorization Bu kısmı inceleyin.

berkerbekman

mgsmus teşekkürler, Policies ile düzenledim yapımı.

Net bir cevap bulamadığım bir konu oldu; Policies ve Gate arasında ne fark var? Örnek olarak hangi işlem için hangisini kullanmak gerekir?

mgsmus

berkerbekman Farkettiyseniz Gate, closure kullanıyor, yetkilendirme olayını anlık inline olarak belirleyip şu, şu ise şunu yapamasın gibi bir kontrol eklemenizi sağlıyor. Policy de aynı işi yapıyor ama örneğin bir modele tek bir sınıf ile birden fazla yetkilendirme tipi eklemenizi sağlıyor. Gate ile de yapabilirsiniz ama her birini ayrı ayrı tanımlamanız gerekir. Benzetme ile örnek vermek gerekirse:

Gate şuna benziyor:

Route:get('/users', function() {
    return Users::paginate();
});

Route:get('/users/{id}', function($id) {
    return Users::findOrFail($id);
});

Policy ise şuna:

Route::resource('users', UserController::class);

Şimdi closure şeklinde rotalama yerine resource rotalama seçmenizin sebebi ne ise Gate yerine Policy seçmenizin sebebi de o gibi düşünebilirsiniz.

BoraN7

Anladigim kadarıyla Gate leri genel tanimlar için yapıyoruz.

Policy de model bazli kontroller için. BlogPost modelin olsun. Crud işlemlerinde posttaki id ile session daki aynı mi diye kontrol edebilmene yarıyor.
Ote yandan diyelim writer diye bir rol olsun ve bu bazi alanlara giremesin, Gate tanımlarsin, Gate::allows() ile ardindan rolü kontrol edersin, gibi...

berkerbekman

Gate içinde bir deneme yapıp öğrenmek istedim, koşulu sağlayamıyorum.

AuthServiceProvider.php

    public function boot()
    {
        $this->registerPolicies();

        Gate::define('update', function (User $user, Brand $brand) {
            return $user->id === $brand->user->id;
        });
    }

Livewire/Brands.php

    public function updateShowModal($id) {
        $brand = Brand::find($id);
        if (! Gate::allows('update', $brand)) {
            abort(403);
        }
        $this->reset();
        $this->resetValidation();
        $this->select_id = $id;
        $this->modalFormVisible = true;
        $this->loadModel();
    }

Models/Brand.php

    public function user() {
        return $this->belongsTo(User::class);
    }

Kodlarım bu şekilde olunca updateShowModal($id) fonksiyonumu çalıştırdığımda 403 veriyor. users tablosundaki id ile brands tablosundaki user_id eşitlensede, eşitlenmesede 403 basıyor ekran.

GÜNCELLEME

Gate adını 'update' yaptığım için olmuyormuş, 'update-brand' şeklinde düzeltince oldu.