1

Tengo un sistema con cuatro roles pero solo necesito su funcionalidad básica de rol no necesito implementar permisos tan detallados como a cada CRUD, quisiera saber como implementar para que solo pueda un rol acceder a una vista en especifico y por ejemplo como manejar algunos métodos de un controlador pero no todos. Existe alguna forma sin tener que aplicar permisos, solo van a existir cuatro roles y cada usuario con ese rol en especifico siempre va tener los mismos privilegios.

Estaba creando un middleware que confirmara el rol y lo llamaba en el construct del controlador.

public function handle(Request $request, Closure $next)
    {
        if(Auth::check())
        {
            if(Auth::user()->role_id=="1" || Auth::user()->role_id=="2"){
                return $next($request);
            }
        }

        return redirect('/');
    }



public function __construct(){
        $this->middleware('admin');
    }

Cómo podría crear un Middleware que me valide el rol y si tiene acceso a esa parte del controlador, por ejemplo, si es estudiante que acceda solo al Index pero si es admin que acceda a todos. Se puede aplicar alguna lógica cuánto la ruta es resource?

He optado por usar Gates pero no entiendo muy bien todo, en este caso no quiero crear un Gate para cada accion crud sino que quiero dejar un Gate para cada rol y con eso valido en cada metodo de los controladores.

Gate::define('SUPERADMINISTRADOR', function ($user) {
            if ($user->role_id == 1) {
                return true;
            }
            return false;
        });

        Gate::define('ADMINISTRADOR', function ($user) {
            if ($user->role_id == 2) {
                return true;
            }
            return false;
        });

        Gate::define('BIBLIOTECARIO', function ($user) {
            if ($user->role_id == 3) {
                return true;
            }
            return false;
        });

Por ejemplo para el index de la vista de Recursos pueden acceder cualquiera que sea de esos tres roles pero no se si deba colocarlo en el constructor o en el index.

public function index()
    {
        if(Gate::allows('SUPERADMINISTRADOR') || Gate::allows('ADMINISTRADOR') || Gate::allows('BIBLIOTECARIO')){
            return view('recurso.index');
        }
            return redirect('/');
    }

En este caso funciona bien pero no sé si sea seguro, dado que por ejemplo creeria que con Postman un usuario puede hacer peticiones sin nisiquiera pasar por el index o estoy mal?

Gracias por adelantado

7
  • Pregunta. ¿Tienes instala la librería de permisos de spatie, spatie/laravel-permission?
    – alentin
    Commented el 23 sept. 2021 a las 15:18
  • 1
    No, no lo es, no te preocupes, yo no la tenia hasta que mi proyecto se hizo tan grande que tuve que implementarla. Lamento no contestarte de manera asertiva en este momento, pero puedo ir diciéndote que investigues sobre Gates y/o Policies de Laravel, es la manera en la que se puede hacer lo que buscas sin tener que instalar la librería...
    – alentin
    Commented el 23 sept. 2021 a las 16:20
  • 1
    PD: spatie/laravel-permission tambien se puede manejar por roles en vez de permisos
    – alentin
    Commented el 23 sept. 2021 a las 16:27
  • 1
    Literalmente la documentación original de Laravel xd laravel.com/docs/8.x/authorization#gates o si googleas "laravel gates roles" te sale mas info. O si me hablabas de la librería, aqui esta su documentacion, te recomiendo que le eches una ojeada a toda (no es mucho xd) spatie.be/docs/laravel-permission/v5/basic-usage/middleware para que sepas de que va...
    – alentin
    Commented el 23 sept. 2021 a las 16:43
  • Una duda, si creo un Gate por ejemplo que solo me valide si es Administrador, lo debería aplicar para cada método del controlador?, porque no creo que aplicarlo al solo index sea seguro.
    – kevinrueda
    Commented el 23 sept. 2021 a las 19:10

1 respuesta 1

2

Claro que si funciona exactamente como los permisos solo que un nivel menos, debes validar en tu controlador cada ruta a que roles dejas ingresar en tu controlador llama el middleware en el constructor

 public function __construct()
    {
       
        $this->middleware('permission:role1,role2', ['only' => ['index', 'show']]);
        $this->middleware('permission:role4,role5', ['only' => ['delete']]);
        $this->middleware('permission:role3,role5', ['only' => ['update']]);
    }

despues creas el middleware obiavmente los llamas en tu handler con el alias

<?php

namespace App\Http\Middleware;

use Closure;

class CheckPermission
{
    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle($request, Closure $next, $roles)
    {

     //  aqui validas si el usuario tiene algunos de los dos roles
      //  si no
     //return response('Forbidden.', 403);

        return $next($request);
    }
}
2
  • Me podrías decir como quedaría la ruta desde web.php, por ejemplo como quedaría todo el código si para el estudiante solo puede tener el index y el profesor tiene todo el crud. En esta parte ´permission:role1,role2´ no quedaria el nombre del middleware?
    – kevinrueda
    Commented el 23 sept. 2021 a las 18:04
  • añade los middlware en el controlador no en la ruta es mas limpio Commented el 23 sept. 2021 a las 22:00

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.