Sonata Admin - 仅允许显示登录用户创建的内容

Question

我设置了一个奏鸣曲管理界面,允许用户创建特定内容,但如何限制用户编辑其他用户创建的内容？

为了论证,用户登录并创建博客.在博客的列表视图中,只有博客是应显示用户创建.

目前,一切都显示给每个用户 - 我确实有组/角色设置来限制对管理区域的访问,这很好.

我目前只能想到显示特定登录用户内容的唯一方法是覆盖模板？

但是,当然,这是一个明显而简单的配置设置？

Answer 1

如何仅显示当前登录用户的数据有更多选项:

第一个首选的方法是使用Symfony的ACL,这里有更多信息,它是如何工作的以及如何在Sonata中完成它.

如果您不想使用ACL,则可以通过向SQL查询(DQL查询)添加一些条件来更改默认查询,例如" WHERE adminId = 5 ".这将是更多的工作,但我会告诉你基本的例子,如何做到这一点.

通过添加新的setter setSecurityContext来更改services.xml中管理服务的定义.我将使用admin列出和编辑一些产品.

    <service id="acme_demo_admin.product" class="Acme\Bundle\DemoAdminBundle\Admin\ProductAdmin">
        <tag name="sonata.admin" manager_type="orm" group="product_group" label_catalogue="admin" label="Products"/>
        <argument />
        <argument>Acme\Bundle\DemoAdminBundle\Entity\Product</argument>
        <argument>AcmeDemoAdminBundle:ProductAdmin</argument>

        <call method="setSecurityContext">
            <argument type="service" id="security.context" />
        </call>
    </service>

SecurityContext是服务,包含有关当前登录用户的信息.

在Acme/Bundle/DemoAdminBundle/Admin/ProductAdmin.php中添加setter setSecurityContext并更改createQuery方法:

<?php

namespace Acme\Bundle\DemoAdminBundle\Admin;

use Symfony\Component\Security\Core\SecurityContextInterface;
// ...

class ProductAdmin extends Admin
{
    /**
     * Security Context
     * @var \Symfony\Component\Security\Core\SecurityContextInterface
     */
    protected $securityContext;

    public function setSecurityContext(SecurityContextInterface $securityContext)
    {
        $this->securityContext = $securityContext;
    }

    protected function configureRoutes(RouteCollection $collection)
    {
        //remove all routes except those, you are using in admin and you can secure by yourself
        $collection
                ->clearExcept(array(
                    'list',
                    'edit',
                ))
        ;
    }

    public function createQuery($context = 'list')
    {
        $queryBuilder = $this->getModelManager()->getEntityManager($this->getClass())->createQueryBuilder();

        //if is logged admin, show all data
        if ($this->securityContext->isGranted('ROLE_ADMIN')) {
            $queryBuilder->select('p')
                    ->from($this->getClass(), 'p')
             ;
        } else {
            //for other users, show only data, which belongs to them
            $adminId = $this->securityContext->getToken()->getUser()->getAdminId();

            $queryBuilder->select('p')
                    ->from($this->getClass(), 'p')
                    ->where('p.adminId=:adminId')
                    ->setParameter('adminId', $adminId, Type::INTEGER)
            ;
        }

        $proxyQuery = new ProxyQuery($queryBuilder);
        return $proxyQuery;
    }

    //... configureListFields, configureDatagridFilters etc.
}

没有角色SONATA_ADMIN的用户无法查看所有记录.

第二步 - 保护一些特殊路线,进行例外编辑 - 您应该检查当前登录的管理员是否可以编辑指定的产品.

您可以创建自己的安全选民(首选解决方案)或使用自定义CRUD控制器.

在自定义CRUD控制器中:Acme/Bundle/DemoAdminBundle/Controller/ProductController.php过载editAction.

<?php
    namespace Acme\Bundle\DemoAdminBundle\Controller;

    use Sonata\AdminBundle\Controller\CRUDController as Controller;
    use Symfony\Component\Security\Core\Exception\AccessDeniedException;


    class ProductAdminController extends Controller 
    {
        public function editAction($id = null)
        {
            $request = $this->getRequest();
            $id = $request->get($this->admin->getIdParameter());

            $securityContext = $this->get('security.context');
            if (!$securityContext->isGranted('ROLE_ADMIN')) {

               $adminId = $securityContext->getToken()->getUser()->getId();

               $accessGranted = //here you should check if user with adminId can edit product with $id

                if (!$accessGranted) {
                    throw new AccessDeniedException(sprintf('Admin ID %s has no access to product with id %s', $adminId, $id));
                }
            }

            return parent::editAction($id);
        }

    }

如您所见,您可以重载许多方法和路由以添加您需要的任何功能.但正如我之前所说,这是更多的工作,所以不要重载方法,首先要检查Symfony的ACL(或者只是创建自己的安全选民)是否是您在项目中所需要的.