src/Security/LotVoter.php line 26

Open in your IDE?
  1. <?php
  2. /**
  3.  * This file is part of Synapse.
  4.  *
  5.  * Copyright (C) 2020-2021 Daniel Ménard
  6.  *
  7.  * For copyright and license information, please view the
  8.  * LICENSE file that was distributed with this source code.
  9.  */
  10. declare(strict_types=1);
  12. namespace App\Security;
  14. use App\Entity\Company;
  15. use App\Entity\Lot;
  16. use App\Entity\Tender;
  17. use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
  18. use Symfony\Component\Security\Core\Authorization\Voter\Voter;
  19. use Symfony\Component\Security\Core\User\UserInterface;
  21. /**
  22.  * LotVoter : sécurité des lots.
  23.  *
  24.  * @author Daniel Ménard <daniel.menard.35@gmail.com>
  25.  */
  26. final class LotVoter extends Voter
  27. {
  28.     /**
  29.      * L'attribut à utiliser pour déterminer si l'utilisateur peut consulter un lot.
  30.      */
  31.     public const VIEW = 'view';
  33.     /**
  34.      * L'attribut à utiliser pour déterminer si l'utilisateur peut modifier un lot.
  35.      */
  36.     public const EDIT = 'edit';
  38.     /**
  39.      * L'attribut à utiliser pour déterminer si l'utilisateur peut voir le budget d'un lot.
  40.      */
  41.     public const VIEW_BUDGET = 'view_budget';
  43.     /**
  44.      * Liste des attributs que l'on gère.
  45.      */
  46.     private const ATTRIBUTES = [
  47.         self::VIEW => 'canView',
  48.         self::EDIT => 'canEdit',
  49.         self::VIEW_BUDGET => 'canViewBudget',
  50.     ];
  52.     /**
  53.      * {@inheritdoc}
  54.      */
  55.     final protected function supports(string $attribute, $subject): bool
  56.     {
  57.         // On ne s'occupe que des objets de type Lot et des attributs qu'on connaît
  58.         return ($subject instanceof Lot) && isset(self::ATTRIBUTES[$attribute]);
  59.     }
  61.     /**
  62.      * {@inheritdoc}
  63.      */
  64.     final protected function voteOnAttribute(string $attribute, $lot, TokenInterface $token): bool
  65.     {
  66.         // L'utilisateur doit être connecté
  67.         $user = $token->getUser();
  68.         if (!$user instanceof UserInterface) {
  69.             return false;
  70.         }
  72.         // Un administrateur a tous les droits, quelle que soit la permission demandée
  73.         if (in_array('ROLE_ADMIN', (array) $user->getRoles())) {
  74.             return true; // mauvaise pratique mais isGranted ne fonctionne pas dans les tests
  75.         }
  77.         // Teste la permission demandée
  78.         $method = [$this, self::ATTRIBUTES[$attribute]];
  80.         return $method($lot, $user);
  81.     }
  83.     /**
  84.      * Teste si un utilisateur peut voir un lot.
  85.      *
  86.      * Retourne true si l'une des conditions suivantes est vraie :
  87.      * - l'utilisateur est le DDO ou le GROUPE du projet dont fait partie le lot
  88.      * - l'utilisateur est le projet dont fait partie le lot (accès de la forme AOxxx)
  89.      */
  90.     final protected function canView(Lot $lot, UserInterface $user): bool
  91.     {
  92.         // L'utilisateur est le DDO ou le GROUPE du projet dont fait partie le lot
  93.         if ($user instanceof Company) {
  94.             // Récupère le projet dont fait partie le lot
  95.             $tender = $lot->getTender();
  96.             if (is_null($tender)) {
  97.                 return false;
  98.             }
  100.             // Ok si l'utilisateur est le DDO ou le GROUPE du projet
  101.             return $user === $tender->getDdo() || $user->getId() === $tender->getGroupId();
  102.         }
  104.         // L'utilisateur est le projet dont fait partie le lot (accès de la forme AOxxx)
  105.         if ($user instanceof Tender) {
  106.             return $user === $lot->getTender();
  107.         }
  109.         // Type d'utilisateur inconnu
  110.         return false;
  111.     }
  113.     /**
  114.      * Teste si un utilisateur peut modifier un lot.
  115.      *
  116.      * Retourne true si l'une des conditions suivantes est vraie :
  117.      * - l'utilisateur est le DDO ou le GROUPE du projet dont fait partie le lot
  118.      * - l'utilisateur est le projet dont fait partie le lot (accès de la forme AOxxx)
  119.      */
  120.     final protected function canEdit(Lot $lot, UserInterface $user): bool
  121.     {
  122.         return $this->canView($lot, $user);
  123.     }
  125.     /**
  126.      * Teste si un utilisateur peut voir le budget d'un lot.
  127.      *
  128.      * Retourne true si l'une des conditions suivantes est vraie :
  129.      * - l'utilisateur est le DDO ou le GROUPE du projet dont fait partie le lot
  130.      * - l'utilisateur est le projet dont fait partie le lot (accès de la forme AOxxx)
  131.      *   ET la propriété budgetIsHidden du projet est à false.
  132.      */
  133.     final protected function canViewBudget(Lot $lot, UserInterface $user): bool
  134.     {
  135.         if ($user instanceof Tender) {
  136.             $tender = $lot->getTender();
  137.             if (is_null($tender) || $tender->getBudgetIsHidden()) {
  138.                 return false;
  139.             }
  140.         }
  142.         return $this->canView($lot, $user);
  143.     }
  144. }