In dit hoofdstuk gaan we ons bezighouden met authenticatie en autorisatie. Deze twee begrippen passen we toe op de volgende onderdelen van ons weblog:

Transcriptie

1 Hoofdstuk 6 Authenticatie en autorisatie In dit hoofdstuk gaan we ons bezighouden met authenticatie en autorisatie. Deze twee begrippen passen we toe op de volgende onderdelen van ons weblog: Inlogsysteem In dit onderdeel wordt authenticatie gebruikt. Authenticatie is het vaststellen van iemands authenticiteit (op echtheid controleren en vergelijken met gegevens in de database). In dit geval wordt dit gedaan op basis van iemands gebruikersnaam en wachtwoord. Hier wordt gebruik gemaakt van de Zend_Auth klasse. Rechtensysteem In dit onderdeel wordt autorisatie gebruikt. Autorisatie is iemand rechten geven op het gebruik van bepaalde onderdelen van de applicatie. Hier wordt gebruik gemaakt van de Zend_Acl klasse. 6.1 Athenticatie De oude manier van authenticatie. Meestal gaat authenticatie op de volgende manier: De gebruikersnaam en het wachtwoord worden ingevoerd. Daarna wordt er op een knop geklikt. De combinatie van de gebruikersnaam en het wachtwoord moet uniek zijn. De gebruikersnaam en het wachtwoord worden als parameters aan een select-query toegevoegd. Het wachtwoord wordt meestal versleuteld. De query zoekt naar een gebruiker met deze gebruikersnaam en wachtwoord in een tabel van een database. De query wordt uitgevoerd. Als de query 1 resultaat heeft gevonden, dan bestaat het account. De gebruiker van het systeem wordt geauthenticeerd. Meestal houdt dit in dat er iets in een session wordt geplaatst, en dat de geauthenticeerde gebruiker toegang krijgt tot 1 of meer pagina's van de website. Tot welke pagina's de gebruiker toegang krijgt, wordt bepaald door middel van autorisatie (hierover later meer). De manier van athenticatie die we in ZF gaan toepassen: 1. Maak en configureer een authenticatieadapter. 2. Maak een authentiactieobject. 3. Voer de methode authenticate( ) van het authentiecatieobject uit, met als parameter de authenticatieadapter. 4. Als de methode authenticate( ) een valide resultaat genereert, dan bestaat het account. De gebruiker van het systeem wordt geauthenticeerd. Meestal houdt dit in dat er iets in een session wordt geplaatst, en dat de geauthenticeerde gebruiker toegang krijgt tot 1 of meer pagina's van de website. Tot welke pagina's de gebruiker toegang krijgt, wordt bepaald door middel van autorisatie (hierover later meer). 1

2 Een belangrijk onderdeel van ons inlogsysteem is uiteraard een inlogscherm met twee tekstboxen en een knop (zie figuur 1). Figuur 1 Opdracht 6.1 a. Maak een inlogformulier. Doe dit als volgt: Maak met zf een form. Zie manier 3 in hoofdstuk 4. Noem dit form Loginfrm. Maak in dit form een formulier met twee tekstboxen en een knop. De method van dit form is post en de action is authuser. De naam van de componenten mag je zelf bepalen. b. Maak met zf een nieuwe controller met de naam LoginController. c. Plaats in de indexaction() en de bijbehorende view van de LoginController, de code die ervoor zorgt dat het form Loginfrm zichtbaar wordt, als je het adres: localhost/blog-zend/public/login/index invoert. De opmaak mag je zelf bepalen. Je gaat nu een methode maken in het model Users, die de authenticatie voor z'n rekening neemt. Let op: dit model is het model van de tabel users in de database. Deze methode noemen we userlogin( ). De methode heeft twee parameters, namelijk $pusername en $ppassword. 2

3 Leeropdracht 6.2 a. Maak de methode userlogin( ) met de parameters namelijk $pusername en $ppassword in het model Users (zie figuur 2). Figuur 2 In deze methode wordt het authenitcatieproces uitgevoerd volgens de vier stappen aan het begin van dit hoofdstuk. Stap 1: Maak en configureer een authenticatieadapter. Een authenticatieadapter is een instantie van de klasse Zend_Auth_Adapter_DbTable. Een authenticatieadapter is een object dat het authenticatieobject nodig heeft om de authenticatie uit te voeren. Daarvoor heeft de authenticatieadapter het een en ander nodig, namelijk: De databaseadapter (voor de verbinding met de database). De tabelnaam met de accountgegevens. De kolommen in die tabel met de accountgegevens (username en password). De encryptiemethode van het wachtwoord. Het ingevoerde gebruikersnaam en wachtwoord. In figuur 3 zie je hoe de databaseadapter gemaakt wordt en hoe deze authorisatieadapter wordt toegevoegd. Hierin is $dbadapter de databaseadapter en $authadapter de authenticatieadapter. Figuur 3 De authenticatieadapter heeft nu dus een databaseadapter. Nu nog de rest van de benodigdheden. b. Genereer een databaseadapter en een authenticatieadapeter (met daaraan toegevoegd de databaseadapter). 3

4 Voor de overige benodigdheden heeft de athenticatieadapter een aantal methodes, namelijk: Voor de tabel Voor de identiteitskolom (in dit geval de kolom username van de tabel) Voor de credentialkolom (in dit geval de kolom password van de tabel) Voor de behandeling van de credentialkolom (in dit geval MD5 encryptie) Voor de waarde van de identiteit (in dit geval de paramaeter $pusername) Voor de waarde van de credential (in dit geval de parameter $ppassword) : settablename( ) : setidentitycolumn( ) : setcredentialcolumn( ) : setcredentialtreadment( ) : setidentdity( ) : setcredential( ) In figuur 4 zie je hoe deze methodes in de code wordt toegepast. Figuur 4 c. Configureer de authenticatieadapter zoals je in figuur 4 ziet. Als deze code wordt uitgevoerd, dan is de authenticatieadapter gemaakt en geconfigureerd. Stap 2 Maak een authentiactieobject en Stap 3 Voer de methode authenticate( ) van het authentiecatieobject uit. De authenticatieadapter kan het authenticatieproces niet zelf uitvoeren. Daarvoor heb je het authenticatie-object nodig. Dit authenticatieobject kan met behulp van de authenticatieadapter het authenticatieproces uitvoeren. In figuur 5 zie je hoe het authenticatieobject wordt gemaakt en hoe de authenticatie met behulp van de methode authenticate( ) van het authenticatie-object wordt uitgevoerd (regel 44 en 45 van figuur 5). Het resultaat van de methode authenticate( ) is een instantie van de klasse Zend_Auth_Result. Dit object heeft een methode isvalide() die het resultaat van de authenticatie omzet in true of false. De parameter van de methode authenticate( ) is de authenticatieadapter. Het resultaat van de methode authenticate( ) is de returnwaarde van de methode userlogin( ) (regel 47 van figuur 5) d. Maak de methode userlogin( ) verder af, zodat het na uitvoering het resultaat van de authenticatie teruggeeft (een instantie van de klasse Zend_Auth_Result ). 4

5 Figuur 5 Stap 4 Als de methode authenticate( ) een valide resultaat genereert, dan bestaat het account. De gebruiker van het systeem wordt geauthenticeerd. In de controller LoginController gaan we het model Users toepassen. Zoiets heb je al eens eerder gedaan in hoofdstuk 5 (zie figuur 7 hoofdstuk 5). e. Maak in de controller LoginController een private attribuut $usermodel. f. Instantieer in de methode init() van LoginController het model Users in dit attibuut. Na uitvoering van de code bevat het attribuut $usermodel een instantie van het model Users. Dit object kan nu in de controller LoginController worden toegepast. Voor het uitvoeren van de authenticatie gebruiken we de authuseraction() in de LoginController. De action authuseraction() in deze controller bestaat nog niet, dus moet nog worden gemaakt. g. Maak met zf de action authuseraction() in de controller LoginController. Merk op: de action authuseraction() is de waarde van het attribuut action van het loginformulier Loginfrm. Als je dus op de knop van het form klikt, dan wordt dus deze action uitgevoerd. Eerst gaan we in de action authuseraction() de geposte waarden uit het form Loginfrm in een variabele zetten. Noem deze variabelen $user en $password. h. Plaats de geposte waarden uit het Loginfrm in de variabelen $user en $password. 5

6 Vervolgens moeten deze variabelen gebruikt worden voor de authenticatie. Dit doen we met behulp van de methode userlogin( ). Dit is een methode van het object $usermodel, wat je in opdracht f hebt gemaakt. Dit gaat als volgt: $this->usermodel->userlogin($user,$password)->isvalid() Deze regel geeft de waarde true of fasle, afhankelijk van het resultaat van de authenticatie. i. Plaats de code voor de authenticatie zelf in een if-statament. Als de authenticatie true oplevert, dan moet de pagina met alle berichten te zien zijn. Deze pagina is gemaakt in hoofdstuk 5 (zie figuur 18 van hoofdstuk 5). Om naar deze pagina te springen, wordt de helper $this->_redirect( ) gebruikt. De in de parameter van deze helper hoef je alleen de controllernaam en de actionnaam te vermelden. Dus om naar de pagina met alle berichten te springen gebruik je: $this->_redirect('user/showallmessages'); j. Maak de applicatie af zodat, bij het invoeren van de juiste combinatie van de username en password, de pagina met alle berichten te zien is. k. Pas de applicatie aan zodat, bij het invoeren van een onjuiste combinatie van de username en password, het scherm van figuur 6 zichtbaar wordt. Figuur 6 De authenticatie is nu klaar. Er mist echter nog één ding, namelijk: de pagina met alle berichten mag alleen worden bereikt als de gebruiker is ingelogd. Dat is nu niet het geval. Ongeacht of je wel of niet bent ingelogd, de pagina is altijd te bereiken door het invoeren van de juiste url. We gaan tot slot de toegang van de pagina afhankelijk maken van een session. Heeft die session de waarde 0, dan mag de pagina niet worden getoond. Heeft de session de waarde 1, dan mag de pagina wel worden getoond. De vraag rijst nu: hoe werk je in ZF met sessions? 6

7 Als je een session wil maken, dan moet je een instantie van klasse Zend_Session_Namespace maken. Dit gaat als volgt: $mijnsession=new Zend_Session_Namespace('login'); In ZF wordt gebruik gemaakt van namespaces als het om sessions gaat. Binnen een namespace kun je verschillende variabelen definiëren die daarbinnen geldig zijn. In bovenstaande programmaregel is het object $mijnsession gemaakt die de namespace login vertegenwoordigd. Aan het object $mijnsession kun je nu zelf een attribuut toekennen en een waarde geven. Zo geef je in de volgende programmaregel het attribuut ingelogd van het object $mijnsession de waarde 0: $mijnsession->ingelogd=0; Dus in een bepaalde pagina definieer je een sessionobject met een bepaalde namespace en geef je een attribuut van dit object een waarde met behulp van de volgende programmaregels: $mijnsession=new Zend_Session_Namespace('login'); $mijnsession->ingelogd=0; Daarna kun je in een andere pagina dit sessionobject weer ophalen met bijvoorbeeld: $mijnsessionnieuwepagina=new Zend_Session_Namespace('login'); Om vervolgens de waarde van het attribuut ingelogd in die pagina te gebruiken in een (bijvoorbeeld) een if-statement: if($mijnsessionnieuwepagina->ingelogd==1) { //hier de code om een pagina zichtbaar te maken } else { echo 'Eerst inloggen dan kan de pagina pas bekeken worden'; } l. Zorg er nu voor dat de pagina met alle berichten alleen toegankelijk is als je bent ingelogd. Ben je niet ingelogd en probeer je die pagina bereiken via de url, dan moet je een pagina met een foutmelding te zien krijgen". m. Wijzig de website zodanig dat je na inloggen de laatste 10 berichten, waarvan jij eigenaar bent, te zien krijgt (de meest recente berichten als eerste). Hint: maak hiervoor een nieuwe action showuserberichtenaction() in de controller UserController. 7

8 6.2 Autorisatie Bij het maken van een inlogsysteem heb je al een vorm van autorisatie gebruikt. Door middel van een sessie heb je een bepaalde persoon toegang gegeven tot een webpagina. Deze vorm van autorisatie wordt echter onhandelbaar als er sprake is van veel webpagina's en veel rollen. ZF heeft hiervoor een oplossing door middel van de Zend_Acl klasse. Met deze klasse kun je op een eenvoudige manier een rechtensysteem opzetten. ACL staat voor Access Control List. Het is een lijst waarin je kunt weergeven wie toegang heeft tot welke controller en/of action. Rollen In een rechtensysteem werk je met rollen. Gangbare rollen zijn admin, user, guest, enz. Elke rol heeft wel of geen rechten op delen van een website. Zo kun je een guest alleen toegang geven op een overzichtscherm met berichten, maar bijvoorbeeld niet op de pagina voor het toevoegen van gebrukers. Het toekennen van rechten gebeurt op het niveau van controllers en actions. Dit wil bijvoorbeeld zeggen dat een guest rechten heeft op de controller GuestController. Als dit het geval is, dan mag de guest gebruik maken van alle actions in deze controller. Je kunt de guest ook rechten geven op een specifieke action binnen een andere controller. In de volgende leeropdracht gaan we een eenvoudig rechtensysteem opzetten met de eerder genoemde rollen. Leeropdracht 6.3 Eerst gaan we de applicatie blog-zend enigszins aanpassen. Het is verstandig deze wijzigingen niet direct in de tot nu toe gemaakte applicatie uit te voeren. Het is verstandig de applicatie te kopiëren en in de kopie de applicatie aan te passen. a. Kopieer de applicatie blog-zend en geef het (bijvoorbeeld) de naam blog-zend1. Deze applicatie gaan we verder bewerken. In de applicatie bestaat al een controller UserController. We gaan de applicatie uitbreiden met twee nieuwe controllers: AdminController en GuestController. b. Maak in de applicatie blog-zend1 de controllers AdminController en GuestController. In het onderstaande schema zie je wat de verschillende rollen wel en niet mogen. Rol guest user admin Geen rol. Figuur 7 Rechten Mag alleen alle berichten zien. Heeft alle rechten van de guest en mag: Alle acties uitvoeren in de UserController Heeft alle rechten van de user en mag een nieuwe user aanmaken. Inloggen 8

9 c. Pas de applicatie blog-zend1 nu als volgt aan: Verplaats de action showallmessagesaction() en de bijbehorende view van de UserController naar de GuestController. Verplaats het gedeelte(actions en views) voor het toevoegen van een user van de UserController naar de AdminController. Controleer nu of de verplaatste functionaliteiten onder de nieuwe controllers werken (en niet meer onder de controller UserController). De applicatie heeft nu 7 controllers (zie figuur 8). Figuur 8 We gaan nu de rechten van de verschillende rollen op controllerniveau afhandelen, dat wil zeggen: we geven de rollen rechten op controllers. Een rol die rechten heeft op een controller heeft dan ook reachten op alle actions en methodes binnen die controller. In figuur 9 zie je dan welke rol rechten heeft op welke controller. Rol guest user admin Geen rol Rechten op controller GuestController ErrorController GuestController UserController ErrorController GuestController UserController AdminController ErrorController LoginControlller Figuur 9 9

10 In dit geval handelen we rechten op controllerniveau af. Je kunt de rechten ook op action- of methtodeniveau afhandelen. In deze lesbrief doen we dat niet. In figuur 9 zie je dat de rol user alle rechten van de rol guest erft en dat de rol admin alle rechten van de rol user erft. Deze hiërarchische opbouw zien we straks terug in de Access Control List (ACL) die we gaan opzetten. Leeropdracht 6.3 In deze leeropdracht ga je eerst de ACL opzetten. Een ACL mag je in principe overal in je project maken. Toch wordt meestal gekozen voor de map Models. Een ACL kun je niet met zf maken. a. Maak in de map Models een klasse Application_Model_SetupAcl. Deze klasse is een subklasse van Zend_Acl. De bestandsnaam moet hier (uiteraard) SetupAcl.php zijn. b. Maak in deze klasse een public methode getacl(). In de methode getacl() bouw je de ACL op en geef je de rechten aan de verschillende rollen. Omdat Application_Model_SetupAcl een subklasse van de klasse Zend_Acl is, kun je verschillende methodes uit deze superklasse gebruiken. Het opbouwen van een ACL gaat in de volgende stappen: Rollen definiëren. Rollen aan de ACL toevoegen. Resources definiëren (resources zijn de controllers, de actions of de methodes waaraan je rollen wel of geen toegang verleent). Resources aan de ACL toevoegen. Rechten verlenen aan de rollen. Rollen definiëren. In figuur 10 zie je hoe de verschillende rollen worden gedefinieerd in de methode getacl(). Figuur 10 Het object $guestrole is het rolobject van een guest. De key van deze rol is guestrole. Deze key wordt straks gebruikt om te bepalen welke rol de eventueel ingelogde gebruiker heeft. Voor de andere rolobjecten geldt iets dergelijks. c. Creëer de drie rollen zoals in figuur

11 Rollen aan de ACL toevoegen. De rollen zijn gedefinieerd, maar nog niet aan de ACL toegevoegd. In figuur 11 zoe je hoe dat in z'n werk gaat. Figuur 11 De methode addrole() wordt geërfd uit de klasse Zend_Acl. In de regel $this->addrole($userrole,$guestrole) voeg je het object $userrole toe aan de ACL en geef je meteen aan dat deze rol de rechten van de rol $guestrole overerft. Iets dergelijks geldt voor de de rollen $adminrole en $userrole. Hierdoor verkrijg je de hiërarchische opbouw van de ACL. d. Voeg de rollen aan de ACL toe. Resources definiëren Resources zijn de controllers, de actions of de methodes waartoe je rollen wel of geen toegang verleent. In figuur 12 zie je hoe de resources worden gedefinieerd. De resources zijn instanties van de klasse Zend_Acl_Resource Figuur 12 11

12 e. Creeer de resources zoals in figuur 12. In een regel als $guestresource=new Zend_Acl_Resource('guest'); wordt het object $guestresource gedefinieerd. Deze resource verwijst naar de controller GuestController. Door een rol rechten te verlenen aan deze resource, geven we deze rol ook rechten aan de bijbehorende controller. Resources aan de ACL toevoegen. Voordat je een rol rechten aan een resource gaat toekennen moet je eerst de resources aan de ACL toevoegen. In figuur 13 zie je hoe dit in z'n werk gaat. Figuur 13 f. Voeg de resources aan de ACL toe. Rechten verlenen aan de rollen. Als we de ACL in deze vorm in onze applicatie implementeren, dan heeft geen enkele rol rechten op de resources in de ACL. Daarom moet je rollen rechten geven aan resources. Dit doe je met de methode allow(<rol(len)>,<resource>) die geërfd wordt uit de klasse Zend_Acl. In figuur 14 zie je hoe toegangsrechten verleend worden aan verschillende rollen op bepaalde recources. Als de waarde van de rol null is, dan is de resource toegankelijk voor elke rol of als er geen rol is. Met de methode allow(<rol(len)>,<resource>) kun je rechten aan het gebruik van een resource ontnemen. In figuur 14 zie je dat aan meer dan 1 rollen de rechten wordt ontnomen door toepassing van een array met rollen. De ACL is nu gedefinieerd in de methode getacl() in de klasse Application_Model_SetupAcl. Als deze methode wordt aangeroepen, dan moet een volledig ingericht ACL-object worden ge-returnd. Vandaar de laatste regel return $this; in de methode getacl(). 12

13 Figuur 14 g. Geef rechten aan rollen zoals in figuur 14. Het is nu zaak dat bij elke aanroep van een willekeurige pagina in het project, de ACL z'n werk kan doen. Om dit voor elkaar te krijgen moet je een plugin maken. Een plugin is een programma dat wordt uitgevoerd als een pagina van de applicatie wordt aangeroepen. Je moet nu als volgt te werk gaan: Maak een plugin waarin je een instantie van de ACL maakt. Start de plugin bij het starten van de applicatie. In de plugin wordt ook een stukje foutafhandeling gedaan. Dat wil zeggen: als je een request doet naar een pagina waarvoor je geen rechten hebt, dan krijg je daarvan een melding (zoiets als: "U heeft geen rechten voor deze pagina"). 13

14 Een plugin maken waarin je een instantie van de ACL maakt. In figuur 15 zie je waar de plugin in je project staat. Figuur 15 h. Maak de map plugins in de map application aan. i. Maak in deze map het bestand AclPugin.php aan. In figuur 16 zie je de code voor de plugin. Figuur 16 14

15 Toelichting bij deze code. Regel 2 De naam van de klasse behoeft geen toelichting. De klasse moet wel de superklasse Zend_Controller_Plugin_Abstract hebben. Regel 6 De methode predispatch() is een methode die altijd wordt uigevoerd als er een request naar een pagina gedaan wordt. Het is een zogenaamde event methode, die je kunt het vergelijken met een eventhandler. Dit request wordt in een object opgevangen (het object $request). Dit object kun je vergelijken met een event argument). Binnen de body van de methode kun je dit object gebruiken (bijvoorbeeld om na te gaan welke controller wordt aangeroepen in het request). Regels 8 tm 10 In deze regels wordt achtereenvolgens: Het sessionobject gemaakt en aan het attribuut $mijnsession gegeven. Een instantie van de klasse Application_Model_SetupAcl gemaakt ($objacl). De ACL gegenereerd met de methode getacl(). Regel 12 en 13 De rolnaam wordt uit de sessie gehaald en in de variabele $rolnaam geplaatst. De rolnaam moet bij het inloggen uit de database worden gehaald en in een sessie gezet. De controllernaam wordt uit het object $request gehaald met de methode getcontrollername(). De controllernaam wordt in de variabele $resourcename geplaatst. Regel 15 tm 19 Eerst wordt getest of de rol (van degene die is ingelogd) rechten heeft op de controller uit het request. Dit doe je met de methode isallowed() van het object $mijnacl. Als deze methode true geeft, dan wordt de pagina gewoon geopend. Geeft de methode isallowed() false, dan wordt de controller die moet worden aangesproken ErrorControler. In deze controller is een action gemaakt met de naam geenrechtenaction(). De view van deze action genereert de melding "U heeft geen rechten voor deze pagina". Met de methodes setcontrollername() en setactionname() kun je de betreffende controller en action instellen. In dit geval wordt dus de controller ErrorController en action geenrechtenaction() aangesproken, waardoor de tekst in de bij de action behorende view zichtbaar wordt. j. Schrijf de code voor de methode predispatch() in de plugin. Nu moeten we er nog voor zorgen dat de plugin wordt gestart bij het starten van de applicatie. 15

16 De plugin starten als de applicatie wordt gestart. Als de applicatie wordt gestart, dan wordt de bootstrap uitgevoerd. De code in van de boorstrap staat in het bestand Bootstrap.php. Dit bestand vind je in de map application van je project. Als je dit bestand opent, dan zie je de bootstrapklasse met een lege body. Om de plugin te starten heb je de code van afbeelding 17 nodig. Figuur 17 Toelichting op de code. Als je bij het starten van je applicatie een plugin wilt starten, dan moet je dit laten doen door middel van de frontcontroller. Ongeacht welke controller er ook wordt aangesproken, de frontcontroller wordt eerst aangeroepen. De frontcontroller routeert de applicatie naar de juiste pagina (via de controllernaam en de actionnaam). Eerst maak je een frontcontrollerobject $frontcontroller (regel 7). Omdat de klasse Zend_Controller_Front een singletonklasse is, moet je deze klasse static instantiëren met de methode getinstance(). In regel 8 maak je het pluginobject. Met behulp van de methode registerplugin( ) implemeteer je de plugin en daarmee ook de ACL in je applicatie. k. Pas het bestand Bootstrap.php aan volgens figuur 17. In principe zijn de randvoorwaarden voor de implementatie van de ACL nu gerealiseerd. Wat je nu nog moet doen is: De database aanpassen (de rolkeys in de tabel users plaatsen). Bij de inlogprocedure moet de rolkey in een sessie worden geplaatst. Pas de ErrorController aan, zodat een foutmelding wordt weergegeven als een gebruiker geen rechten op een pagina heeft. l. Pas je applicatie aan op de punten hiervoor. m. Test je applicatie voor de drie rollen die je hebt gedefinieerd. 16