Zend FR

je l'ai vu, mais mon problème c'est que je ne sais pas est ce je dois créér une classe qui derive zend_acl ou non et ou est ce que je dois la mettre par rapport à l'architectute mvc,

donc en fait je veux savoir quls sont les fichier que je dois créér et où les mettre

merci

merci infiniment pour ta reponse

Bonjour Isilgawen,

J'ai un site qui utilise ce genre de contrôle (pas encore en prod) avec 3 niveaux de droits (chez toi il y en a 2).

J'ai un plugin qui définit puis vérifie les droits.
Prenons un exemple avec :
- 2 niveaux de profils : le profil global et le profil à l'intérieur du groupe
- 2 fonctions : modifier mon compte (module member, controller account)  et le forum du groupe 12 (module message, controller forum)

1) je définis mes droits :
les rôles sont :
- globalVisitor
- globalMember
- globalAdmin
et
- groupVisitor
- groupMember
- groupAdmin

allow("globalMember","member", "account/index")

allow("groupMember", "message", "forum/read")

2) ensuite je teste mes droits :
je récupère le profil du member dans le groupe 12 (donc je sais si c'est un groupVisitor ou un groupMember).
Je fais ensuite les opérations suivantes dans cet ordre :

if (isAllowed([i]globalProfile[/i], $request->getModuleName(), $request->getControllerName()."/".$request->getActionName()) {
  // accès accepté on ignore la fin du traitement
}

if (isAllowed([i]groupProfile[/i], $request->getModuleName(), $request->getControllerName()."/".$request->getActionName()) {
   // accès accepté, on ignore la fin du traitement
}

// accès refusé

(c'est pas du vrai code, c'est pour donner l'idée...)

Je sais pas si mon explication est claire, mais ça marche bien

A+, Philippe

Ok, j'avais compris le problème de travers...

Donc si, c'est possible avec les ACL, regarde du coté des Assertions :
http://framework.zend.com/manual/en/zen … assertions

A l'arrivée tu codes ton test à la mano quand même, mais ça reste localisé au même niveau que les ACL. C'est assez pratique pour mettre tes isAllowed dans un plungin

A+, Philippe

Et moi et moi j'ai pas compris!

J'ai besoin du même système pour un site d'annonce, et je voudrais qu'un utilisateur puisse modifier ses annonces uniquement.
Je voudrais en plus (je suis chiant hein?) avoir des options lors des aperçus des annonces. Je m'explique.
Tout comme dans un forum quand un utilisateur consulte un topic, il peut Signaler | Citer un message. Et quand c'est le sien, il peut Signaler | Citer | Modifier | Supprimer (comme sur ce forum quoi ).

J'ai regardé les assertions mais je ne vois pas trop comment m'y prendre pour tester sur un utilisateur ($auth :-p ) peut modifier un ressource (et pas un type de ressource).

Une piste ou un p'tit bout de code?
N'importe quoi pourvu que mon cerveau puisse avancer à nouveau!

Dernière modification par Mr.MoOx (23-10-2007 17:12:56)

Bonjour à tous,

ok je déterre un post "vieux comme le monde" mais j'ai besoin de vos lumières sur les assertions. J'ai regardé à peu près tout les posts sur le forum et je ne trouve pas de réponse concrète.

J'ai une application qui gère 2 niveaux d'utilisateurs, les admins et les clients. J'ai mis en place un plugin auth (celui que tout le monde connait) et j'ai un fichier MyAcl.php,d ans mon répertoire /application/, qui est instancié dans le bootstrap.

class MyAcl extends Zend_Acl
{
    public function __construct(Zend_Auth $auth)
    {
        // Les rôles
        $this->addRole(new Zend_Acl_Role('guest')); 
        $this->addRole(new Zend_Acl_Role('client'), 'guest');
        $this->addRole(new Zend_Acl_Role('admin'), 'guest');
        
        // Les ressources
        $this->add(new Zend_Acl_Resource('index'));
        $this->add(new Zend_Acl_Resource('auth'));
        $this->add(new Zend_Acl_Resource('register'));
        
        $this->add(new Zend_Acl_Resource('manager'));
        $this->add(new Zend_Acl_Resource('manager_index'));
        $this->add(new Zend_Acl_Resource('manager_clients'));
        $this->add(new Zend_Acl_Resource('manager_auth'));

        // Les autorisations
        $this->allow('guest', 'index');
    $this->allow('guest', 'register');
    $this->allow('guest', 'manager_auth');
        
        $this->deny('client', 'manager_clients');
        ??? => assertion avec l'id ?, lire la suite :) <= ???
        
        $this->allow('admin'); // Accès sans aucune restriction
    }
}

Tout ça fonctionne correctement car actuellement chaque client peut se loguer et est rediriger vers son espace (un dashboard). Mais il peut aussi changer l'url de type : http://~url~/manager/clients/dashboard/cli_id/10 en modifiant le numéro id pour accéder aux autres espace clients... d'où une grosse faille de sécurité.

Est-ce qe quelqu'un pourrait m'aider à compléter mon code pour sécuriser les espaces ?
Comment coder afin d'utiliser les assertions en récupérant l'id passé en paramètre ?

Merci

Je passe les infos dans l'url car l'admin doit pouvoir gérer les clients.
Par exemple, quand je me logue en tant qu'admin, j'arrive sur la page 'd'accueil admin' avec un tableau qui me liste tout mes clients, en cliquant sur un des clients j'accède à l'accueil de ce client. En comparaison, ça ressemble un peu à l'interface utilisateur de plesk.
A partir de là j'ai plusieurs actions possible je peux modifier le profil, créer des points de vente pour ce clients... et ces actions sont accessibles par des boutons.
url pour modifier un compte client : http://~url~/manager/clients/update/cli_id/9
url pour ajouter un point de vente : http://~url~/manager/agences/add/cli_id/9

Je ne connais que cette solution pour accéder aux informations de la DB.

Par contre si je me logue en tant que client, le numéro id est enregistré en session avec Zend_Auth comme ce que tu fais mais les liens ne change pas et affichent toujours http://~url~/manager/clients/update/cli_id/9, par exemple.

C'est pourquoi je pense que les assertions me seront indispensable, non ?

Disons ce qui est, je suis super nul en programmation Et dans ma classe MyAcl  je ne sais pas comment faire intervenir l'objet de requête. je pense que c'est quelquechose comme

public function preDispatch(Zend_Controller_Request_Abstract $request) {
        $this->allow("client","manager_clients",null,
            new Pi_Acl_ClientAssert($request->getParam("cli_id",null)));
            // echo $request->getParam("cli_id",null);
}

ou directement dans le constructeur ?
Zend_Controller_Request_Abstract n'est pas définie au bon endroit apparemment

Dernière modification par Roulio (11-09-2008 11:48:31)

Peut être qu'il ne s'embrouille pas

La requete n'est défini que pendant le dispatching à un certain moment.
Il te suffit de faire dans ton bootstrap - avant l'appel de ta méthode quoi (tout betement ) :

$frontController->setRequest(new Zend_Controller_Request_Http());

Sinon à propos des urls, j'ai une logique similaire su rmon projet actuel et en fait je ne passe l'id que si ce n'est pas "moi" au sens de l'application.
Du coup dans mon action je fais un truc du genre

if ($this->_hasParam('userId)) {
    $theUser = $model->users->get($this->_getParam('userId));
} else {
    $theUser = $model->user; //l'user en cours
}
//apres je bosse tranquillement avec mon object $theUser