php - Slim 4 中的路由中间件不会停止调用路由中的可调用对象
问题描述
我正在为 Slim4 中的授权中间件苦苦挣扎。这是我的代码:
$app = AppFactory::create();
$app->add(new Authentication());
$app->group('/providers', function(RouteCollectorProxy $group){
$group->get('/', 'Project\Controller\ProviderController:get');
})->add(new SuperuserAuthorization());
身份验证中间件检查用户并正常工作。
ProviderController 中的get方法是
public function get(Request $request, Response $response): Response{
$payload = [];
foreach(Provider::all() as $provider){
$payload[] = [
'id' => $provider->id,
'name' => $provider->name,
];
}
$response->getBody()->write(json_encode($payload));
return $response;
}
SuperuserAuthorization 看起来像这样
class SuperuserAuthorization{
public function __invoke(Request $request, RequestHandler $handler): Response{
$response = $handler->handle($request);
$authorization = explode(" ", $request->getHeader('Authorization')[0]);
$user = User::getUserByApiKey($authorization[1]);
if(! Role::isSuperuser($user)){
return $response->withStatus(403);//Forbidden
}
return $response;
}
}
问题是即使用户不是超级用户,应用程序也会继续执行。结果,我得到了所有提供者的 json 和 http 代码 403:/
路由中间件不应该阻止请求进入应用程序并立即返回 403 吗?
我知道我可以创建新的空响应,状态为 403,所以数据不会出来,但关键是请求永远不应该超出这个中间件,我是对的还是我只是在这里误解了一些东西......</p >
任何帮助将不胜感激 :)
- - - - - - - 解决方案 - - - - - - - -
感谢@Nima,我解决了它。中间件的更新版本为:
class SuperuserAuthorization{
public function __invoke(Request $request, RequestHandler $handler): Response{
$authorization = explode(" ", $request->getHeader('Authorization')[0]);
$user = User::getUserByApiKey($authorization[1]);
if(! Role::isSuperuser($user)){
$response = new Response();
return $response->withStatus(403);//Forbidden
}
return $handler->handle($request);
}
}
解决方案
路由中间件不应该阻止请求进入应用程序并立即返回 403 吗?
Slim 4 使用PSR-15兼容的中间件。在 PSR-15 元文档中有一个很好的例子来说明如何实现一个授权中间件。$handler->handle($request)
如果您不希望进一步处理请求,则需要避免调用。
如您在示例中所见,如果请求未授权,$handler->handle($request)
则返回与返回值不同的响应。这意味着您的意思是:
我知道我可以创建新的空响应,状态为 403,所以数据不会出来,但关键是请求永远不应该超出这个中间件
在某种程度上是正确的,但是您应该通过在调用处理程序之前返回适当的响应来防止请求进一步进行,或者抛出异常并让错误处理程序处理它。
这是一个简单的中间件,它随机授权一些请求并为其他请求抛出异常:
$app->group('/protected', function($group){
$group->get('/', function($request, $response){
$response->getBody()->write('Some protected response...');
return $response;
});
})->add(function($request, $handler){
// randomly authorize/reject requests
if(rand() % 2) {
// Instead of throwing an exception, you can return an appropriate response
throw new \Slim\Exception\HttpForbiddenException($request);
}
$response = $handler->handle($request);
$response->getBody()->write('(this request was authorized by the middleware)');
return $response;
});
要查看不同的响应,请访问/protected/
路径几次(记住中间件随机动作)
推荐阅读
- laravel - Laravel 服务容器和服务提供者
- azure - Azure Databricks:访问防火墙后面的 Blob 存储
- c# - 由于不使用字符串而无法在视图中输入双精度值?
- java - 按标签过滤时未考虑 JUnit 4 @Test 注释
- react-native - 笑话:如何修复-TypeError:无法分配给函数'function()的只读属性'name'
- azure - 天蓝色什么是时间聚合最大值或 AVG
- angular - Ionic 4 - authService 不返回任何值
- c# - 将 EF6 数据库优先从 SQL Server 迁移到 PostgreSQL
- python - 正则表达式识别最近到 2018 年的年份
- node.js - TypeScript 节点服务器设置。如何删除 dist 文件夹中的所有 *.d.ts 文件?