0

Estoy tratando de proteger las rutas de mi aplicación mediante middlewares porque necesito que solo ciertos roles puedan acceder a necesitadas rutas por razones de seguridad.

Por ejemplo deseo que la ruta a continuación solo pueda acceder el rol administrador.

Route::get('/gestionarMedicos', [PersonaController::class,'mostrarMedicos'])->name('personaMostrarMedicos')->middleware('auth','firstLogin','role:administrador');

El middleware que tengo para tratar de proteger la ruta es este (en la ruta es la última que tiene de nombre role).

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;

class EnsureUserHasRole
{
    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle(Request $request, Closure $next, $role)
    {

        if (! $request->user()->role($role)->get()) {
            // Redirect...

            return back();
        }

        return $next($request);


    }
}

El modelo de User que tengo es este.

<?php

namespace App\Models;

use Illuminate\Contracts\Auth\MustVerifyEmail;
use Illuminate\Database\Eloquent\Factories\HasFactory;
use Illuminate\Foundation\Auth\User as Authenticatable;
use Illuminate\Notifications\Notifiable;
use Illuminate\Database\Eloquent\Model;

class User extends Authenticatable
{
    use HasFactory, Notifiable;

    /**
     * The attributes that are mass assignable.
     *
     * @var array
     */
    
    protected $fillable = [
        'role',
        'name',
        'email',
        'password',
        'idPersona',
        'estado'
    ];
    
    public function Persona(){
        return $this->belongsTo(Persona::class,'idPersona');
    }
    /**
     * The attributes that should be hidden for arrays.
     *
     * @var array
     */
    protected $hidden = [
        'remember_token'
    ];

    /**
     * The attributes that should be cast to native types.
     *
     * @var array
     */
    protected $casts = [
        'email_verified_at' => 'datetime',
    ];

    public function scopeRole($query, $role)
    {
        return $query->where('role', $role);
    }
}

El problema es que al querer usar el middleware para proteger la ruta no me funciona porque todos los usuarios con cualquier rol pueden acceder a la ruta.

1
  • ya me la contestaron en ingles, ya comparto la respuesta. Commented el 19 sept. 2021 a las 16:54

1 respuesta 1

1

El problema es que la condición en el middleware está devolviendo a los administradores en vez de validar si es administrador, la condición debe ser así para validar si es administrador o no

 public function handle(Request $request, Closure $next, $role)
    {    
        if (!$request->user() || $request->user()->role != $role) {
            // Redirect...
                           
            return back();
        }
                            
        return $next($request);           
    }

Esa condición hace que si no hay nadie loggeado o si el rol no es el que se desea, en este caso administrador regrese y no pase a la ruta.

Esta pregunta fue contestada en inglés por Toyi en la que también explica como proteger la ruta en caso de que se desee que sean multiples roles solamente los que puedan pasar. Pongo el enlace de la pregunta en ingles.

https://stackoverflow.com/questions/69231478/middleware-doesnt-protect-routes-based-on-role

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.