vendor/datenwerk/ginger-bundle/Security/PersonVoter.php line 12

Open in your IDE?
  1. <?php
  3. namespace DW\GingerBundle\Security;
  5. use DW\GingerBundle\Entity\PersonInterface;
  6. use DW\GingerBundle\Entity\User;
  7. use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
  8. use Symfony\Component\Security\Core\Authorization\Voter\Voter;
  9. use Symfony\Component\Security\Core\Authorization\AccessDecisionManagerInterface;
  10. use DW\GingerBundle\Entity\GroupInterface;
  12. class PersonVoter extends Voter
  13. {
  14.     const VIEW = 'view';
  15.     const EDIT = 'edit';
  16.     const CREATE = 'create';
  17.     const FIND = 'find';
  18.     const ANONYMIZE = 'anonymize';
  19.     const DELETE = 'delete';
  20.     const EDIT_TROUGH_API = 'editTroughApi';
  22.     private AccessDecisionManagerInterface $decisionManager;
  24.     public function __construct(AccessDecisionManagerInterface $decisionManager)
  25.     {
  26.         $this->decisionManager = $decisionManager;
  27.     }
  29.     protected function supports($attribute, $subject): bool
  30.     {
  31.         // if the attribute isn't one we support, return false
  32.         if (!in_array($attribute, array(self::VIEW, self::FIND, self::EDIT, self::CREATE, self::ANONYMIZE, self::DELETE, self::EDIT_TROUGH_API))) {
  33.             return false;
  34.         }
  35.         // only vote on person objects inside this voter
  36.         if (!$subject instanceof PersonInterface) {
  37.             return false;
  38.         }
  40.         return true;
  41.     }
  43.     protected function voteOnAttribute($attribute, $subject, TokenInterface $token): bool
  44.     {
  45.         $user = $token->getUser();
  46.         if (!$user instanceof User) {
  47.             // the user must be logged in; if not, deny access
  48.             return false;
  49.         }
  51.         /** @var PersonInterface $person */
  52.         $person = $subject;
  53.         switch ($attribute) {
  54.             case self::VIEW:
  55.                 return $this->canView($person, $token);
  56.             case self::FIND:
  57.                 return $this->canFind($person, $token);
  58.             case self::EDIT:
  59.                 return $this->canEdit($person, $token);
  60.             case self::CREATE:
  61.                 return $this->canCreate($person, $token);
  62.             case self::ANONYMIZE:
  63.                 return $this->canAnonymize($person, $token);
  64.             case self::DELETE:
  65.                 return $this->canDelete($person, $token);
  66.             case self::EDIT_TROUGH_API:
  67.                 return $this->canEditTroughApi($person, $token);
  68.         }
  69.         throw new \LogicException('This code should not be reached!');
  70.     }
  72.     private function canCreate(PersonInterface $person, TokenInterface $token): bool
  73.     {
  74.         if ($this->decisionManager->decide($token, ['ROLE_GINGER_CONTACT_CREATE'])) {
  75.             return true;
  76.         }
  78.         return false;
  79.     }
  81.     private function canView(PersonInterface $person, TokenInterface $token): bool
  82.     {
  83.         $user = $token->getUser();
  84.         if ($user->isGod()) {
  85.             return true;
  86.         }
  88.         // Users groups must share at least one tag with person
  89.         /**@var GroupInterface $group */
  90.         foreach ($user->getGroups() as $group) {
  91.             foreach ($group->getTags() as $groupTag) {
  92.                 if ($person->getTags()->contains($groupTag)) {
  93.                     return true;
  94.                 }
  95.             }
  96.         }
  98.         return false;
  99.     }
  101.     private function canFind(PersonInterface $person, TokenInterface $token): bool
  102.     {
  103.         /*
  104.          * Temporarily, all registered users may find any persons.
  105.          * Review/Discussion to be done as part of #22083 et.al.
  106.          *
  107.          * @see https://mantis.dwerk.at/view.php?id=22083
  108.          */
  109.         if ($this->canView($person, $token) || $this->decisionManager->decide($token, ['ROLE_USER'])) {
  110.             return true;
  111.         }
  113.         return false;
  114.     }
  116.     private function canEdit(PersonInterface $person, TokenInterface $token): bool
  117.     {
  118.         $user = $token->getUser();
  119.         if ($this->canView($person, $token) && $this->decisionManager->decide($token, ['ROLE_GINGER_CONTACT_EDIT'])) {
  120.             return true;
  121.         }
  122.         if ($user->getPerson() === $token->getUser() && $this->decisionManager->decide($token, ['ROLE_GINGER_USER_EDIT_MYPROFILE'])) {
  123.             // User is linked to contact
  124.             return true;
  125.         }
  127.         return false;
  128.     }
  130.     private function canAnonymize(PersonInterface $person, TokenInterface $token): bool
  131.     {
  132.         if ($this->decisionManager->decide($token, ['ROLE_GINGER_CONTACT_ANONYMIZE'])
  133.         && $this->canEdit($person, $token)) {
  134.             return true;
  135.         }
  137.         return false;
  138.     }
  140.     private function canDelete(PersonInterface $person, TokenInterface $token): bool
  141.     {
  142.         if ($this->canEdit($person, $token) && $this->decisionManager->decide($token, ['ROLE_GINGER_CONTACT_DELETE'])) {
  143.             return true;
  144.         }
  146.         return false;
  147.     }
  149.     private function canEditTroughApi(PersonInterface $person, TokenInterface $token): bool
  150.     {
  151.         // Anyone can edit persons through the API
  152.         // Is there a better way?
  154.         return true;
  155.     }
  156. }