我想在不使用任何包的情況下在 Laravel-8 中實作Impersonate功能。
- 只有超級管理員才能使用此功能。
- 我使用 laravel sanctum 進行身份驗證。
- 訪問模擬功能的用戶應該是超級管理員。（is_admin(boolean) 標志設定到用戶表中）。
這是我的中間件：
<?php
namespace App\Http\Middleware;
use Closure;
use App\Models\User;
use Illuminate\Http\Request;
use Illuminate\Support\Facades\Auth;
class ImpersonateUser
{
/**
* Handle an incoming request.
*
* @param \Illuminate\Http\Request $request
* @param \Closure $next
* @return mixed
*/
public function handle(Request $request, Closure $next)
{
$impersonateId = $request->cookie('x-impersonate-id');
if($request->user()->is_admin && $impersonateId) {
$user = User::findOrFail($impersonateId);
if($user->is_admin) {
return response()->json(["message" => trans("You cannot impersonate an admin account.")], 400);
}
Auth::setUser($user);
}
return $next($request);
}
}
我的路線檔案：
// Impersonate routes.
Route::middleware(['auth:sanctum', 'impersonate'])->group(function () {
// checklist routes
Route::get('checklists', [ChecklistController::class, "index"]);
});
使用Auth::setUser($user)是否安全還是我必須使用Auth::onceUsingId($userId); ?
Auth::onceUsingId($userId); 不使用auth::sanctum中間件。那么Auth::setUser($user)是否安全？
我只使用 Laravel 開發后端 API。（SPA）
uj5u.com熱心網友回復：
它們在安全性方面應該是相同的。在后臺OnceUsingId()呼叫setUser()。
從Illuminate\Auth\SessionGuard 類
/** * Log the given user ID into the application without sessions or cookies. * * @param mixed $id * @return \Illuminate\Contracts\Auth\Authenticatable|false */ public function onceUsingId($id) { if (! is_null($user = $this->provider->retrieveById($id))) { $this->setUser($user); return $user; } return false; } /** * Set the current user. * * @param \Illuminate\Contracts\Auth\Authenticatable $user * @return $this */ public function setUser(AuthenticatableContract $user) { $this->user = $user; $this->loggedOut = false; $this->fireAuthenticatedEvent($user); return $this; }
不過，這兩種方法都來自 SessionGuard。不知道Sanctum有沒有實作自己的版本。
轉載請註明出處，本文鏈接：https://www.uj5u.com/ruanti/395720.html