CakePHP3のCakeDC/Usersでログインユーザの所有レコードのみ更新、削除する権限管理の設定方法

2019/04/14

CakePHP3 CakeDC/Usersで所有レコードのみ閲覧、更新、削除する権限設定方法

CakePHP3のユーザ管理プラグイン「CakeDC/Users」を使用して権限管理をする際の前提条件

　
この記事では、下記を実装するための解説です。

CakePHP3で、ユーザ管理プラグイン「CakeDC/Users」を使用してユーザ管理をするシステムを構築している。
その中で、ユーザAが登録した情報は、ユーザAが所有者として登録され、その登録情報はユーザAのみが見ることができ、更新、削除も所有者 Aのみが行える。

という機能を実装することを想定しています。
　
まず、CakePHP3にユーザ管理プラグイン「CakeDC/Users」を導入する方法については、下記の記事を参考にしてください。
CakePHP3のユーザ管理・ログイン認証プラグインCakeDC/Usersのインストール解説・3.6以降対応
　
また、「/config/users.php」「/config/permissions.php」ファイルを作成し、ログイン認証に関連する設定を記述していく方法については、下記の記事を参考にしてください。
CakePHP3のCakeDC/Usersのログイン後のリダイレクトとユーザ権限管理の設定解説
　
　
これを踏まえた上で、「/config/permissions.php」ファイルに、権限を設定していく方法を解説していきます。
　
　

「/config/permissions.php」ファイルのサンプル

　
「/config/permissions.php」ファイルに記述する権限設定のサンプルは以下のようになります。
　

<?php
use Cake\ORM\TableRegistry;
use   CakeDC\Auth\Rbac\Rules\Owner;

return [
    'Users.SimpleRbac.permissions' => [

        [
            'role' => ['user'],
            'plugin' => 'CakeDC/Users',
            'controller' => 'Users',
            'action' => ["profile","logout"],
        ],

        [
            'role' => ['user'],
            'controller' => ['Blogs'],
            'action' => ["edit","delete"],
            'allowed' => new Owner([
                'ownerForeignKey' => 'user_id',
            ]),
        ],
    ]
];

<?php

use Cake\ORM\TableRegistry;

use CakeDC\Auth\Rbac\Rules\Owner;

return [

'Users.SimpleRbac.permissions' => [

[

'role' => ['user'],

'plugin' => 'CakeDC/Users',

'controller' => 'Users',

'action' => ["profile","logout"],

[

'role' => ['user'],

'controller' => ['Blogs'],

'action' => ["edit","delete"],

'allowed' => new Owner([

'ownerForeignKey' => 'user_id',

]),

]

];

　
上記の前半は、ユーザ権限が「user」の場合、プラグインが「CakeDC/Users」で、コントローラーが「Users」の処理のうち、アクションが「profile」もしくは「logout」である場合はアクセスを許可する、という設定になっています。
　
指定する処理が複数ある場合は、「'action' => ["profile","logout"],」の様に配列で指定します。
「'role' => ['user'],」のように、指定するものが 1つしかない場合でも配列で指定することもできますので、全部配列で指定する、と覚えておいても問題はないでしょう。
　
　

ログアウトのアクションは必ず登録する

　
ちなみに、この権限設定をする場合は、何はともあれ下記のログアウトの処理だけは記述しておくようにしておきましょう。
これがないとログアウトできなくなります。
　

        [
            'role' => ['user'],
            'plugin' => 'CakeDC/Users',
            'controller' => 'Users',
            'action' => "logout",
        ],

[

'role' => ['user'],

'plugin' => 'CakeDC/Users',

'controller' => 'Users',

'action' => "logout",

「*」を使ってすべての処理を許可対象にすることもできる

　
また、下記のように、具体的な処理を指定するのではなく、「*」を指定することで、すべての処理を許可する、という指定方法もあります。
　

        [
            'role' => 'user',
            'prefix' => 'member',
            'extension' => '*',
            'plugin' => '*',
            'controller' => '*',
            'action' => "*",
        ],

[

'role' => 'user',

'prefix' => 'member',

'extension' => '*',

'plugin' => '*',

'controller' => '*',

'action' => "*",

　
上記は、会員用のコンテンツ「http://example.com/member/」をすべて利用を許可する、という指定になります。
　
　

「superuser」は設定しなくてもすべての機能にアクセスできる

　
下記の設定は、「『superuser』はすべての機能にアクセスできる」という設定ですが、これはわざわざ設定しなくても、『superuser』はすべての機能にアクセスできます。
　

        [
            'role' => 'superuser',
            'prefix' => '*',
            'extension' => '*',
            'plugin' => '*',
            'controller' => '*',
            'action' => "*",
        ],

[

'role' => 'superuser',

'prefix' => '*',

'extension' => '*',

'plugin' => '*',

'controller' => '*',

'action' => "*",

所有権限があるレコードのみ更新、削除ができる設定

　
最初のサンプルの後半部分の下記は、コントローラー「Blogs」で管理されるブログ記事を、アクション「edit（更新）」や「delete（削除）」できるのは、ログインしているユーザの「user_id」が、テーブル「blogs」にある「user_id」の値と同じ時のみ処理を許可する、という設定になります。
　

        [
            'role' => ['user'],
            'controller' => ['Blogs'],
            'action' => ["edit","delete"],
            'allowed' => new Owner([
                'ownerForeignKey' => 'user_id',
            ]),
        ],

[

'role' => ['user'],

'controller' => ['Blogs'],

'action' => ["edit","delete"],

'allowed' => new Owner([

'ownerForeignKey' => 'user_id',

]),

　
ちなみに、この設定を行っても、「superuser」権限があるユーザは、他のユーザのレコードも更新、削除することができます。
（「superuser」のユーザが更新しても、テーブル「blogs」にある「user_id」の情報は更新されません。）
　
　

所有権限があるレコードのみ更新、削除ができる設定・別テーブルに IDを持っている場合

　
上記は、レコードの所有者の情報が保存されているカラム「user_id」が、更新するレコードと同じテーブル内にある場合の設定ですが、所有者情報を管理しているテーブルが別のテーブル「BlogsUsers」にある場合は、以下のように設定します。
　

        [
            'role' => ['user'],
            'controller' => ['Blogs'],
            'action' => ["edit","delete"],
            'allowed' => new Owner([
                'table'           => 'BlogsUsers',
                'id'              => 'post_id',
                'ownerForeignKey' => 'user_id',
            ]),
        ],

[

'role' => ['user'],

'controller' => ['Blogs'],

'action' => ["edit","delete"],

'allowed' => new Owner([

'table' => 'BlogsUsers',

'id' => 'post_id',

'ownerForeignKey' => 'user_id',

]),

- CakePHP 3.x 4.x 5.x CakePHP3

最後までお読みいただきましてありがとうございます。
この記事が参考になったと思いましたらソーシャルメディアで共有していただけると嬉しいです！

Message コメントをキャンセル

※入力いただいたコメントは管理者の承認後に掲載されます。

: CakePHP3でDocumentRootやtmp、webroot、logsなどのフォルダへのパスの定数

CakePHP3で特定フォルダのパスの定数を解説。root、DocumentRoot、app、config、webroot、tests、tmp、cache、vendor、コア、コアの srcが設定済み。realpath()関数を使うと柔軟なパス指定が可能。

: CakePHP3の画像、ファイルアップロードプラグインUpload Plugin 3.0の設置解説・その１

CakePHP3でファイル、画像をアップロードするプラグイン、upload plugin 3を導入する手順を解説した記事。3部作のその1で基本的な導入方法の解説で読みながら簡単に導入が可能。

: CakePHPで Auto Incrementを外すと Duplicate entry ‘0’ for keyのエラーが出るかも

CakePHPでAuto Incrementの設定を変更したときに「Duplicate entry ‘0’ for key」のエラーが出た。原因はModel内で IDを編集する処理の追加を忘れていたからだった。

: CakePHP5系でDeprecatedを回避しfindListでキーと値のカラムを指定して取得する方法

CakePHP4のfindListでキーと値のカラムを指定してテーブルにアクセスする方法がCakePHP5では「Deprecated（非推奨）」となった。推奨の記述方法を解説。

: CakePHP3のプラグイン「CakeDC/Users」を日本語化・翻訳ファイルもダウンロード可

CakePHP3のユーザ管理、ログイン認証プラグインである「CakeDC/Users」のメッセージを日本語にする手順の解説とともに、日本語の翻訳ファイルを提供。ファイルを設置すれば日本語になる！

: CakePHP 2.3で saveの便利な使い方・サンプルソース付き

CakePHPのレコードを保存、更新する際に使う Saveを詳細解説します。

: CakePHP3のアソシエーションでJOINのタイプのLEFT、INNERを切り替えながら使う方法

CakePHP3でテーブルのアソシエーションしたデータの取得をコントローラー側でINNERかLEFTを指定する方法を解説。TableファイルにINNERで指定していてもController側で変更ができる。

: CakePHP3で他のテーブルのマスタテーブルからセレクトボックス（プルダウンリスト）を作る

他のテーブルのマスタのレコードからプルダウンリストを作成し、選択できるようにするサンプルプログラムと解説。ORMの設定によりデータベースの値を取得し、配列を作成し optionsに与える。

: CakePHP 2.3　Search Pluginで検索処理　その４前方一致検索、後方一致検索、不等号による検索、between句による範囲検索

CakePHPの検索プラグイン Search Pluginの検索処理の中で前方一致検索、後方一致検索、不等号による検索、between句による範囲検索の解説です。

: CakePHP3で Ajaxを使う方法の解説。3.6以降対応。Successとthenの両方を解説。

CakePHP3でajaxを利用する処理の実装方法を解説。プルダウンを変更するとデータベースの値を取得し検索結果の内容を変更するというような処理を想定。CakePHP3.6以降の CSRF対策対応済。