src/AppBundle/Security/DictionaryVoter.php line 19

Open in your IDE?
  1. <?php
  3. namespace AppBundle\Security;
  5. use AppBundle\CSPro\User\User;
  6. use AppBundle\CSPro\User\Role;
  7. use AppBundle\CSPro\User\RoleDictionaryPermissions;
  8. use AppBundle\CSPro\Dictionary;
  9. use Symfony\Component\Security\Core\Security;
  10. use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
  11. use Symfony\Component\Security\Core\Authorization\Voter\Voter;
  12. use Psr\Log\LoggerInterface;
  14. /**
  15.  * Description of DictionaryVoter
  16.  *
  17.  * @author savy
  18.  */
  19. class DictionaryVoter extends Voter {
  21.     public const DICTIONARY_OPERATIONS = 'data_all';
  22.     public const DATA_DOWNLOAD = 'data_all';
  23.     public const SYNC_UPLOAD = 'dictionary_sync_upload';
  24.     public const SYNC_DOWNLOAD = 'dictionary_sync_download';
  26.     public function __construct(Security $security, private LoggerInterface $logger) {
  27.         $this->security = $security;
  28.     }
  30.     protected function supports($attribute, $subject) : bool{
  32.         // if the attribute isn't one we support, return false
  33.         if (!in_array($attribute, [self::DICTIONARY_OPERATIONS, self::SYNC_UPLOAD, self::SYNC_DOWNLOAD, self::DATA_DOWNLOAD])) {
  34.             return false;
  35.         }
  37.         return true;
  38.     }
  40.     protected function voteOnAttribute($attribute, $subject, TokenInterface $token) : bool {
  41.         $user = $token->getUser();
  43.         //  $this->logger->debug('dictionary voter voteOnAttribute: ' . print_r($user, true));
  45.         if (!$user instanceof User) {
  46.             // the user must be logged in; if not, deny access
  47.             return false;
  48.         }
  50.         $dictName = $subject;
  51.         return match ($attribute) {
  52.             self::DICTIONARY_OPERATIONS => $this->canAddOrDeleteDictionaries($user, $attribute),
  53.             self::DATA_DOWNLOAD => $this->canDownloadData($user, $attribute),
  54.             self::SYNC_UPLOAD => $this->canSyncUploadData($dictName, $user),
  55.             self::SYNC_DOWNLOAD => $this->canSyncDownloadData($dictName, $user),
  56.             default => throw new \LogicException('This code should not be reached!'),
  57.         };
  58.     }
  60.     private function canAddOrDeleteDictionaries(User $user, $attribute) {
  62.         $roleName = 'ROLE_' . strtoupper($attribute);
  63.         if ($this->security->isGranted('ROLE_ADMIN') || $this->security->isGranted('ROLE_STANDARD_USER') || $this->security->isGranted($roleName)) {
  64.             return true;
  65.         } else {
  66.             $this->logger->debug('User does not have data_all permissions');
  67.             return false;
  68.         }
  69.     }
  71.     private function canDownloadData(User $user, $attribute) {
  73.         $roleName = 'ROLE_' . strtoupper($attribute);
  74.         if ($this->security->isGranted('ROLE_ADMIN') || $this->security->isGranted('ROLE_STANDARD_USER') || $this->security->isGranted($roleName)) {
  75.             return true;
  76.         } else {
  77.             $this->logger->debug('User does not have data_all permissions');
  78.             return false;
  79.         }
  80.     }
  82.     //built-in standard users and administrators can sync upload data. for other roles check permissions based on the dictionary
  83.     private function canSyncUploadData($dictName, User $user) {
  84.         //if $dictName is empty return false 
  85.         if (empty($dictName))
  86.             return false;
  88.         if ($this->security->isGranted('ROLE_ADMIN') || $user->getRoleId() == User::STANDARD_USER) {//built-in administrator or standard users
  89.             return true;
  90.         } else {
  91.             $role = $user->getUserRole();
  92.             $dictionaryPermissions = new RoleDictionaryPermissions();
  93.             if (isset($role)) {
  94.                 $this->logger->debug('dictionary voter: checking permissions sync upload ' . $dictName);
  95.                 $dictionaryPermissions = $role->rolePermissions->getDictionaryPermissions($dictName);
  96.                 return $dictionaryPermissions->canSyncUpload();
  97.             }
  98.             $this->logger->debug('dictionary voter: denied canSyncUploadData ' . $dictName);
  99.             return false;
  100.         }
  101.     }
  103.     //built-in administrators can download sync spec and standard users cannot. For other users with any other role check permissions based on dictionary name
  104.     private function canSyncDownloadData($dictName, User $user) {
  105.         //if $dictName is empty return false 
  106.         if (empty($dictName))
  107.             return false;
  109.         if ($this->security->isGranted('ROLE_ADMIN') || $user->getRoleId() == User::STANDARD_USER) {//built-in administrator
  110.             return true;
  111.         } else {
  112.             $role = $user->getUserRole();
  113.             $dictionaryPermissions = new RoleDictionaryPermissions();
  114.             if (isset($role)) {
  115.                 $this->logger->debug('dictionary voter: checking permissions sync download ' . $dictName);
  116.                 $dictionaryPermissions = $role->rolePermissions->getDictionaryPermissions($dictName);
  117.                 return $dictionaryPermissions->canSyncDownload();
  118.             }
  119.             $this->logger->debug('dictionary voter: denied canSyncUploadData ' . $dictName);
  120.             return false;
  121.         }
  122.     }
  124. }