Tengo un sistema con cuatro roles pero solo necesito su funcionalidad básica de rol no necesito implementar permisos tan detallados como a cada CRUD, quisiera saber como implementar para que solo pueda un rol acceder a una vista en especifico y por ejemplo como manejar algunos métodos de un controlador pero no todos. Existe alguna forma sin tener que aplicar permisos, solo van a existir cuatro roles y cada usuario con ese rol en especifico siempre va tener los mismos privilegios.
Estaba creando un middleware que confirmara el rol y lo llamaba en el construct del controlador.
public function handle(Request $request, Closure $next)
{
if(Auth::check())
{
if(Auth::user()->role_id=="1" || Auth::user()->role_id=="2"){
return $next($request);
}
}
return redirect('/');
}
public function __construct(){
$this->middleware('admin');
}
Cómo podría crear un Middleware que me valide el rol y si tiene acceso a esa parte del controlador, por ejemplo, si es estudiante que acceda solo al Index pero si es admin que acceda a todos. Se puede aplicar alguna lógica cuánto la ruta es resource?
He optado por usar Gates pero no entiendo muy bien todo, en este caso no quiero crear un Gate para cada accion crud sino que quiero dejar un Gate para cada rol y con eso valido en cada metodo de los controladores.
Gate::define('SUPERADMINISTRADOR', function ($user) {
if ($user->role_id == 1) {
return true;
}
return false;
});
Gate::define('ADMINISTRADOR', function ($user) {
if ($user->role_id == 2) {
return true;
}
return false;
});
Gate::define('BIBLIOTECARIO', function ($user) {
if ($user->role_id == 3) {
return true;
}
return false;
});
Por ejemplo para el index de la vista de Recursos pueden acceder cualquiera que sea de esos tres roles pero no se si deba colocarlo en el constructor o en el index.
public function index()
{
if(Gate::allows('SUPERADMINISTRADOR') || Gate::allows('ADMINISTRADOR') || Gate::allows('BIBLIOTECARIO')){
return view('recurso.index');
}
return redirect('/');
}
En este caso funciona bien pero no sé si sea seguro, dado que por ejemplo creeria que con Postman un usuario puede hacer peticiones sin nisiquiera pasar por el index o estoy mal?
Gracias por adelantado