src/Security/Voter/UserVoter.php line 11

Open in your IDE?
  1. <?php
  3. namespace App\Security\Voter;
  5. use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
  6. use Symfony\Component\Security\Core\Authorization\Voter\Voter;
  7. use Symfony\Component\Security\Core\User\UserInterface;
  8. use Symfony\Component\Security\Core\Authorization\AccessDecisionManagerInterface;
  9. use App\Entity\User as User;
  11. class UserVoter extends Voter
  12. {
  13.     const EDIT = 'ROLE_USER_EDIT';
  14.     const DELETE = 'ROLE_USER_DELETE';
  16.     private $decisionManager;
  18.     public function __construct(AccessDecisionManagerInterface $decisionManager)
  19.     {
  20.         $this->decisionManager = $decisionManager;
  21.     }
  23.     protected function supports($attribute, $subject)
  24.     {
  25.         // if the attribute isn't one we support, return false
  26.         if (!in_array($attribute, [self::EDIT, self::DELETE])) {
  27.             return false;
  28.         }
  30.         return true;
  31.     }
  33.     protected function voteOnAttribute($attribute, $subject, TokenInterface $token)
  34.     {
  35.         $userLogged = $token->getUser();
  37.         if (!$userLogged instanceof User) {
  38.             // the user must be logged in; if not, deny access
  39.             return false;
  40.         }
  42.         if ($this->decisionManager->decide($token, ['ROLE_SUPER_ADMIN'])) {
  43.             return true;
  44.         }
  46.         // you know $subject is a Post object, thanks to supports
  47.         $user = $subject;
  49.         switch ($attribute) {
  50.             case self::EDIT:
  51.                 return $this->canEdit($user, $userLogged);
  52.             case self::DELETE:
  53.                 return $this->canDelete($user, $userLogged);
  54.         }
  58.         throw new \LogicException('This code should not be reached!');
  59.     }
  61.     private function canEdit($user, $userLogged)
  62.     {
  63.         // if they can edit, they can view
  64.         if ($this->canDelete($user, $userLogged)) {
  65.             return true;
  66.         }
  68.         return false;
  69.     }
  71.     private function canDelete($user, $userLogged)
  72.     {
  73.         // this assumes that the data object has a getOwner() method
  74.         // to get the entity of the user who owns this data object
  75.         if ($user->getId() == $userLogged->getId()) {
  76.             return true;
  77.         }
  79.         if ($userLogged->hasRole('ROLE_ADMIN') && $user->hasRole('ROLE_USER')) {
  80.             return true;
  81.         }
  83.         return false;
  84.     }
  85. }