Laravel: różnica między Route Middleware a polisa

Obecnie przechodzę przez mały refaktor z moimi rolami, uprawnieniami i trasami i zadałem sobie to samo pytanie.

Na poziomie powierzchni wydaje się, że prawdziwe oprogramowanie pośredniczące i zasady realizują tę samą ogólną ideę. Sprawdź, czy użytkownik może robić to, co robi.

Dla odniesienia tutaj jest Laravel docs...

Middleware "Mogę to zobaczyć? Mogę iść?"

Http middleware zapewnia wygodny mechanizm filtrowania HTTP wnioski wpisując swoją aplikację. Na przykład Laravel zawiera oprogramowanie pośredniczące weryfikujące użytkownika aplikacji to uwierzytelnione. Jeśli użytkownik nie zostanie uwierzytelniony, oprogramowanie pośredniczące będzie przekierowanie użytkownika na ekran logowania. Jeśli jednak użytkownik jest uwierzytelnione, oprogramowanie pośredniczące pozwoli na kontynuację żądania dalej do wniosku.

Oczywiście można napisać dodatkowe oprogramowanie pośredniczące, aby wykonać różne zadań oprócz uwierzytelniania. CORS middleware może być odpowiedzialny za dodawanie odpowiednich nagłówków do wszystkich odpowiedzi Twoje podanie. Oprogramowanie pośredniczące do logowania może rejestrować wszystkie przychodzące żądania do podania.

Https://laravel.com/docs/master/middleware#introduction

W mojej lekturze Middleware polega na działaniu na poziomie żądania. W kategoriach " czy ten użytkownik może zobaczyć stronę?", lub " czy ten użytkownik może tu coś zrobić?"

Jeśli tak, to przechodzi do metody kontrolera powiązanej z tym strona. Co ciekawe, Middleware może powiedzieć: "Tak, możesz tam iść, ale zapiszę, że idziesz."Itd.

Polityka "Mogę to zrobić? Mogę to zmienić?"

Oprócz świadczenia usług uwierzytelniania po wyjęciu z pudełka, Laravel zapewnia również prosty sposób organizacji logiki autoryzacji i Kontrola dostępu do zasoby. Istnieje wiele metod i pomocników, którzy pomogą Ci w organizacji logiki autoryzacji oraz omówimy każdy z nich w tym dokumencie.

Https://laravel.com/docs/master/authorization#introduction

Polityka wydaje się jednak bardziej skupiać się na robieniu . Czy użytkownik może zaktualizować dowolny wpis, czy tylko jego?

Te pytania wydają się pasować do metody kontrolera, gdzie wszystkie wywołania do akcji na zasobie są zorganizowane. Pobierz ten obiekt, Zapisz lub zaktualizuj artykuł.

Jak wspomniał tjbb, oprogramowanie pośredniczące może sprawić, że trasy będą bardzo brudne i trudne do zarządzania. To jest przykład z mojego pliku routes:

Problem

    Route::group(['middleware' =>'role:person_type,person_type2',], function () {
        Route::get('download-thing/{thing}', [
             'as' => 'download-thing', 
             'uses' => 'ThingController@download'
        ]);
    }); 

To jest bardzo trudne do odczytania w moim pliku trasy!

Inne podejście do polityki

//ThingController
public function download(Thing $thing)
{
    //Policy method and controller method match, no need to name it
    $this->authorize($thing);

    //download logic here....
}