0

É correto em termos de segurança retirar um middleware de autenticação de um controller se eu já defini um Gate no Laravel?

Fiz assim:

No AuthServiceProvider.php

Gate::define( 'admin', function ( $user ) {
    return $user->cargo_id == '3';
} );

Na rota

Route::middleware( 'can:admin' )->prefix( 'admin' )->group( function() {

    Route::get( '/', function() {

        return view( 'admin.home' );

    } );

No controller eu tinha:

public function __construct()
{

    $this->middleware( 'auth' );

}

Quando o usuário acessar a página, ao invés de redirecionar para o login, retirando o middleware do controller retorna direto um erro de permissão. Eu prefiro assim, mas isto é correto em termos de segurança?

2 Respostas 2

1

Não faz sentido o que você quer fazer.

Uma coisa é o middleware auth, outra é o Gate. Um checa a autenticação, outro checa a permissão.

O middleware auth tem como finalidade permitir o acesso do usuário quando o usuário está autenticada. Caso não esteja autenticado, o Laravel retorna 401 para requisições JSON, ou redireciona para login, no caso de requisição web.

Já o Gate tem como finalidade definir o que pode ser acessado por determinado usuário ou não. Um usuário autenticado pode ter acesso a um recurso, e o outro não. E é aqui que entra o papel do Gate!

Por exemplo, o usuário que tenha o nivel_id 1 pode ver o botão de cadastro, já o que tem o valor 2 não pode.

Nesse caso, você criaria um Policy ou através de Gate::define que tal usuário pode acessar esse botão. O retorno de um método ou callback do Gate deve retornar um booleano, para indicar se o usuário tem permissão ou não.

7
  • O que não faz sentido? Li a documentação do laravel, entendi o papel da autenticação e do Gate, quanto a isto aparentemente tudo ok. Minha dúvida é a que esta acima.
    – user3681
    Commented 30/10/2018 às 13:18
  • Não faz sentido querer usar o Gate sem o middleware de autenticação. Commented 30/10/2018 às 13:26
  • Desculpe a insistência, mas preciso saber, porque não faz sentido? No meu caso, sem o auth no controller, o usuário não autenticado, ao invés de ser redirecionado para a página de login, vê um 403. E o usuário autenticado que não tenha acesso também vê um 403. Aparentemente funcionou, minha dúvida é saber se isso é de algum modo errado em termos de segurança.
    – user3681
    Commented 30/10/2018 às 13:32
  • Por causa disto que eu estou perguntando — laravel.com/docs/5.7/authorization#guest-users. Onde ele diz "By default, all gates and policies automatically return false if the incoming HTTP request was not initiated by an authenticated user. "
    – user3681
    Commented 30/10/2018 às 14:14
  • 1
    Entendi o que você esta falando. Acrescentei o middleware a Rota, ficou assim — Route::middleware( [ 'auth', 'can:admin' ] ) — quando o usuário tentar acessar ele primeiro pede autenticação. Depois da autenticação, se o usuário não tiver acesso vê 403.
    – user3681
    Commented 30/10/2018 às 18:26
0

Olá, eu estava com essa dúvida, mas fui bater cabeça e ficou assim:

Controller:

public function __construct()
{
    $this->middleware('auth');
    $this->middleware('can:admin');
}

Está verificando primeiro se ele está logado e depois sua permissão.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .