ACF （ Access Control Filter）

ACF （ Access Control Filter）官网的解释就是一个可以在模型或控制器执行行为过滤器，当有用户请求时，ACF将检查access rules （权限规则），在决定是否让这个用户请求这个行为。

在控制器中使用

public function behaviors()

    {

        return [

            'verbs' => [

                'class' => VerbFilter::className(),

                'actions' => [

                    'delete' => ['POST'],

                ],

            ],

            //ACF过滤

            'access' => [

                'class' => AccessControl::className(),

                'rules' => [

                    [

                        //是否云允许 相符合匹配规则 roles 执行这些动作

                        'allow' => true,

                        //可执行的动作

                        'actions' => ['login', 'index', 'error'],

                        ///游客未经认证

                        'roles' => ['?'],

                    ],

                    [

                        'allow' => true,

                        //可执行的动作

                        'actions' => ['logout', 'index','view','update'],

                    // 已认证用户

                        'roles' => ['@'],

                    ],

                ],

            ]

        ];

    }

当ACF知道当前用户没有权限执行当前动作时，他将执行如下默认行为：

如果用户是游客，将调用 yii\web\User::loginRequired()跳转到登录页面。

如果用户已经是授权用户，它将抛出异常（yii\web\ForbiddenHttpException.）。

同时也可以通过配置yii\filters\AccessControl::$denyCallback属性进行自定义这个行为，如下。
[

    'class' => AccessControl::className(),

    ...

    'denyCallback' => function ($rule, $action) {

        throw new \Exception('You are not allowed to access this page');

    }

]

同时还支持很多选项，如下列表，也可以扩张 yii\filters\AccessRule来建立自己的自定义权限规则类

allow 指定是否允许或不允许这个规则

actions 动作的匹配规则，值是一个数组，比较是区分大小写。如果这个选项没有设置或为空，那么规则适合所有动作

controllers 指定控制器的匹配规则，值是一个数组

roles 指定匹配的用户角色，有两个角色是公认的，通过yii\web\User::$isGues进行验证。？匹配未授权用户，@匹配授权用户

ips 用户的IP地址

verbs 指定匹配请求方式（get or post ）

matchCallback 指定一个回调判断规则是否匹配

denyCallback 指定一个回调，当规则不匹配时进行调用

use yii\filters\AccessControl;

class SiteController extends Controller

{

    public function behaviors()

    {

        return [

            'access' => [

                'class' => AccessControl::className(),

                'only' => ['special-callback'],

                'rules' => [

                    [

                        'actions' => ['special-callback'],

                        'allow' => true,

                        'matchCallback' => function ($rule, $action) {

                            return date('d-m') === '31-10';

                        }

                    ],

                ],

            ],

        ];

    }

    // Match callback called! This page can be accessed only each October 31st

    public function actionSpecialCallback()

    {

        return $this->render('happy-halloween');

    }

}

Role Based Access Control (RBAC)——基于角色存取控制权

配置RBAC

Yii提供两种类型的认证管理，即yii\rbac\PhpManager and yii\rbac\DbManager，前者用PHP脚本文件存储认证数据，后者用数据库存储认证数据。

Using PhpManager

在应用配置中添加 yii\rbac\PhpManager类

return [

    // ...

    'components' => [

        'authManager' => [

            'class' => 'yii\rbac\PhpManager',

        ],

        // ...

    ],

];

authManager现在能通过 \Yii::$app->authManager进行认证

yii\rbac\PhpManager存储RBAC数据文件默认是在@app/rbac目录下，若果权限结构需要被改动，那要确保这个目录可写

Using DbManager

在应用配置中添加 yii\rbac\DbManager类

return [

    // ...

    'components' => [

        'authManager' => [

            'class' => 'yii\rbac\DbManager',

        ],

        // ...

    ],

];

DbManager会使用四张表存储数据

auth_item 权限表

auth_item_child 权限结构表

auth_assignment 权限分配表

auth_rule 权限规则表

使用如下命令在@yii/rbac/migrations目录生成文件

yii migrate --migrationPath=@yii/rbac/migrations

建立认证数据

如果权限结构准备好了，如下，那么就可以创建在控制台执行的命令，执行 yii rbac/init 将生成数据

namespace  console\controllers;

use Yii;

use yii\console\Controller;

class RbacController extends Controller

{

    public function actionInit()

    {

        $auth = Yii::$app->authManager;

        // 添加 "createPost" 权限

        $createPost = $auth->createPermission('createPost');

        $createPost->description = '新增文章';

        $auth->add($createPost);

        // 添加 "updatePost" 权限

        $updatePost = $auth->createPermission('updatePost');

        $updatePost->description = '修改文章';

        $auth->add($updatePost);

        // 添加 "deletePost" 权限

        $deletePost = $auth->createPermission('deletePost');

        $deletePost->description = '删除文章';

        $auth->add($deletePost);

        // 添加 "approveComment" 权限

        $approveComment = $auth->createPermission('approveComment');

        $approveComment->description = '审核评论';

        $auth->add($approveComment);

        // 添加 "postadmin" 角色并赋予 "updatePost" “deletePost” “createPost”

        $postAdmin = $auth->createRole('postAdmin');

        $postAdmin->description = '文章管理员';

        $auth->add($postAdmin);

        $auth->addChild($postAdmin, $updatePost);

        $auth->addChild($postAdmin, $createPost);

        $auth->addChild($postAdmin, $deletePost);

        // 添加 "postOperator" 角色并赋予  “deletePost”

        $postOperator = $auth->createRole('postOperator');

        $postOperator->description = '文章操作员';

        $auth->add($postOperator);

        $auth->addChild($postOperator, $deletePost);

        // 添加 "commentAuditor" 角色并赋予  “approveComment”

        $commentAuditor = $auth->createRole('commentAuditor');

        $commentAuditor->description = '评论审核员';

        $auth->add($commentAuditor);

        $auth->addChild($commentAuditor, $approveComment);

        // 添加 "admin" 角色并赋予所有其他角色拥有的权限

        $admin = $auth->createRole('admin');

        $commentAuditor->description = '系统管理员';

        $auth->add($admin);

        $auth->addChild($admin, $postAdmin);

        $auth->addChild($admin, $commentAuditor);

        // 为用户指派角色。其中 1 和 2 是由 IdentityInterface::getId() 返回的id （译者注：user表的id）

        // 通常在你的 User 模型中实现这个函数。

        $auth->assign($admin, 1);

        $auth->assign($postAdmin, 2);

        $auth->assign($postOperator, 3);

        $auth->assign($commentAuditor, 4);

    }

权限验证

if (\Yii::$app->user->can('createPost')) {

    // 如果用户用权限 执行 createPost 操作  do  something

}

如果想让所有的注册用户拥有某一个权限，在高级模板中可以修改 frontend\models\SignupForm::signup()中代码，如下

public function signup()

{

    if ($this->validate()) {

        $user = new User();

        $user->username = $this->username;

        $user->email = $this->email;

        $user->setPassword($this->password);

        $user->generateAuthKey();

        $user->save(false);

        // the following three lines were added:

        $auth = \Yii::$app->authManager;

        $authorRole = $auth->getRole('author');

        $auth->assign($authorRole, $user->getId());

        return $user;

    }

    return null;

}

Using Rules

规则就是添加额外的约束添加限制角色和权限，一个规则是继承于yii\rbac\Rule，因此必须要实现execute（）方法。在之前创建的author角色是不能编辑自己的文章，因此来验证下

namespace app\rbac;

use yii\rbac\Rule;

/**

 * Checks if authorID matches user passed via params

 */

class AuthorRule extends Rule

{

    public $name = 'isAuthor';

    /**

     * @param string|int $user the user ID.

     * @param Item $item the role or permission that this rule is associated with

     * @param array $params parameters passed to ManagerInterface::checkAccess().

     * @return bool a value indicating whether the rule permits the role or permission it is associated with.

     */

    public function execute($user, $item, $params)

    {

        return isset($params['post']) ? $params['post']->createdBy == $user : false;

    }

}

添加额外规则

$auth = Yii::$app->authManager;

// add the rule

$rule = new \app\rbac\AuthorRule;

$auth->add($rule);

// add the "updateOwnPost" permission and associate the rule with it.

$updateOwnPost = $auth->createPermission('updateOwnPost');

$updateOwnPost->description = 'Update own post';

$updateOwnPost->ruleName = $rule->name;

$auth->add($updateOwnPost);

// "updateOwnPost" will be used from "updatePost"

$auth->addChild($updateOwnPost, $updatePost);

// allow "author" to update their own posts

$auth->addChild($author, $updateOwnPost);

Check Accessing

第一种使用

if (\Yii::$app->user->can('createPost')) {

    // create post

}

第二种，直接添加在自动验证机制中（behaviors）

public function behaviors()

{

    return [

        'access' => [

            'class' => AccessControl::className(),

            'rules' => [

                [

                    'allow' => true,

                    'actions' => ['index'],

                    'roles' => ['managePost'],

                ],

                [

                    'allow' => true,

                    'actions' => ['view'],

                    'roles' => ['viewPost'],

                ],

                [

                    'allow' => true,

                    'actions' => ['create'],

                    'roles' => ['createPost'],

                ],

                [

                    'allow' => true,

                    'actions' => ['update'],

                    'roles' => ['updatePost'],

                ],

                [

                    'allow' => true,

                    'actions' => ['delete'],

                    'roles' => ['deletePost'],

                ],

            ],

        ],

    ];

}

巴特西

Yii2中ACF和RBAC