Tengo una api en laravel y estoy usando angular. Entonces tengo este servicio en angular que no es mas que un request para eliminar registros :
private getAuthHeaders(): HttpHeaders {
const token = localStorage.getItem('token');
return new HttpHeaders().set('Authorization', `Bearer ${token}`);
}
deleteUser(id: number): Observable<ApiResponse<User>> {
return this.httpClient
.delete<ApiResponse<User>>(`${this.apiUrl}/api/v1/users/${id}`, {
headers: this.getAuthHeaders(),
})
.pipe(
catchError((error: HttpErrorResponse) => {
const errorMsg =
this.errorHandlingService.extractErrorMessage(error) ||
'Error al eliminar el usuario.';
return throwError(() => new Error(errorMsg));
})
);
}
Mientras que asi se hace login y se captura el token junto con otros datos
login(username: string, password: string): Observable<any> {
return this.http
.post(`${this.apiUrl}/api/v1/login`, {
username,
password,
})
.pipe(
tap((response: any) => {
sessionStorage.setItem('token', response.token);
this.isAuthenticatedSubject.next(true);
this.fetchUser();
}),
catchError((error) => {
console.error('Error en el inicio de sesión', error.error);
return of(error.error);
})
);
}
private fetchUser(): void {
const token = sessionStorage.getItem('token');
if (token) {
this.http
.get(`${this.apiUrl}/api/user`, {
headers: { Authorization: `Bearer ${token}` },
})
.subscribe({
next: (user: any) => {
console.log(user);
this.userSubject.next(user);
sessionStorage.setItem('user_id', user.id);
sessionStorage.setItem('username', user.username);
const firstRole = user.roles[0];
sessionStorage.setItem('role', firstRole.name);
},
error: (error) => {
console.error('Error fetching user data', error);
},
});
}
}
Dado que solo uso sanctum como se puede ver si estoy enviando el token de autorización en la petición. Ahora se supone que solo el administrador puede borrar los registros asi lo especifique en las rutas de laravel:
Route::middleware('auth:sanctum')->group(function () {
Route::group(['middleware' => ['role:Administrador']], function () {
Route::apiResource('/users', UsersController::class)->names('users');
});
});
Aqui el problema es que hago el request con un usuario que no es administrador y aun asi se procesa exitosamente el request. Sin embargo eh probado en postman y ahi si me esta dando la excepcion con el estado de codigo 403. Que es lo que tambien esperaria que pase en angular entonces por mas que le doy vueltas al asunto no entiendo que estoy haciendo mal. Ya que al probar en postman si ejecuta la restriccion de spatie pero en angular no lo que provoca que cualquier usuario que inicie sesion pueda borrar los registros o acceder a cualquier otro recurso que se supone seria accesible solo para el administrador.
this.getAuthHeaders()
lo hace con localStorage por alli no ira el asunto?localStorage
cuando en realidad erasessionStorage
y con eso pude solucionarlo