Laravel Access Control

Tidak seperti pada Symfony, CakePHP, Phalcon, Yii atau Zend Framework, dll; pada Laravel dan Lumen tidak ada built-in fitur seperti ACL, MAC, DAC, RBAC atau apapun itu namanya. Beberapa package memang tersedia untuk menangani hal ini seperti Sentry, Entrust, dll.

Pengalaman terakhir saya dengan beberapa packages tersebut lumayan jelek. Seperti misalnya setelah menggunakan Sentry ntah kenapa menjadi terasa lebih lambat. Dan Sentry ini sudah tidak di-update lagi oleh pembuatnya Cartalyst. Melainkan digantikan dengan Sentinel.

Pengalaman lagi dengan Entrust di Laravel 4. Saat itu Entrust v1 masih menggunakan “versi development” dari Ardent sebagai dependency-nya. Hal itu membuat banyak masalah. Apalagi saya menggunakan mininum-stability: "stable" pada composer.json.

Membuat Access Control sendiri

Disini saya akan bahas bagaimana membuat access control sederhana. Saya akan fokus pada kesederhanaan, agar anda bisa mengerti hal basic pada access control. Tentu saja anda bisa modifikasi sendiri sesuai dengan kebutuhkan anda nantinya.

Migrations

Untuk membuat ACL sendiri caranya dengan membuat migrations/table schema

// roles
$table->increments('id');
$table->string('name');

// role_user
$table->unsignedInteger('user_id');
$table->unsignedInteger('role_id');

$table->primary(['user_id', 'role_id']);

Relationship

Setelah itu kita buat relasi dengan menggunakan Eloquent.

<?php namespace App;

// ...
use Illuminate\Database\Eloquent\Model;

class User extends Model 
{
    // ...
    
    public function roles()
    {
        return $this->belongsToMany('Role');
    }
    
    // ...
}

<?php namespace App;

use Illuminate\Database\Eloquent\Model;

class Role extends Model 
{
    // ...
    
    public function users()
    {
        return $this->belongsToMany('User');
    }
    
    // ...
}

Fitur Role Assignment/Revoke

Tambahkan fitur untuk assign atau revoke role.

<?php namespace App;

// ...
use Illuminate\Database\Eloquent\Model;

class User extends Model
{
    // ...
    
    public function roles()
    {
        return $this->belongsToMany('Role');
    }
    
    public function assignRole($role)
    {
        if (is_string($role)) {
            $role = Role::where('name', $role)->first();
        }

        return $this->roles()->attach($role);
    }
    
    public function revokeRole($role)
    {
        if (is_string($role)) {
            $role = Role::where('name', $role)->first();
        }

        return $this->roles()->detach($role);
    }
    
    // ...
}

Fitur Pengecekan Role

<?php namespace App;

// ...
use Illuminate\Database\Eloquent\Model;

class User extends Model 
{
    // ...
    
    public function roles()
    {
        return $this->belongsToMany('Role');
    }
    
    public function assignRole($role)
    {
        if (is_string($role)) {
            $role = Role::where('name', $role)->first();
        }

        return $this->roles()->attach($role);
    }
    
    public function revokeRole($role)
    {
        if (is_string($role)) {
            $role = Role::where('name', $role)->first();
        }

        return $this->roles()->detach($role);
    }
    
    public function hasRole($name)
    {
        foreach($this->roles as $role)
        {
            if ($role->name === $name) return true;
        }
        
        return false;
    }
    
    // ...
}

Dan sudah selesai 😐

Percaya atau tidak, membuat ini sebenernya cuma butuh waktu sekitar 2-6 menit 😐

Cara menggunakan

$user = User::find(1);

// Jadikan user ini sebagai admin
$user->assignRole('admin');

// Keluarkan user ini dari admin
$user->revokeRole('admin');

Contoh pada controller untuk mengecek apakah current user memiliki role admin

if (Auth::user()->hasRole('admin'))
{
    return Redirect::to('/backend');
}

Contoh pengecekan menu di view

@if (Auth::user()->hasRole('moderator'))
    <a href="#">Go to Backend</a>
@endif

Middleware dan Filter

Filter

Jika anda menggunakan Laravel 4, anda bisa menggunakan filter. Letakkan ini pada app/filters.php

Route::filter('role', function($name)
{
    if (Auth::check() && ! Auth::user()->hasRole($name))
    { 
        return App::abort(401, 'Unauthorized');
    }
});

Cara menggunakan filter di route

Route::get('/backend', [
    'uses'   => 'BackendController@index',
    'before' => 'role:admin'
]);

Middleware (Laravel 5.0)

Berhubung fitur middleware parameter belum ada di Laravel 5.0, anda bisa menggunakan filter. Karena filter sebenarnya tidak dihilangkan dari core Laravel 5.0. Anda bisa menggunakannya seperti di Laravel 4 seperti biasa.

Middleware (Laravel 5.1)

Buat middleware baru

./artisan make:middleware RoleMiddleware

Edit App\Http\Middleware\RoleMiddleware.php

public function handle($request, Closure $next, $roleName)
{
    if (auth()->check() && ! auth()->user()->hasRole($roleName))
    {
        return abort(401, 'Unauthorized');
    }
    
    return $next($request);
}

Di App\Http\Kernel.php daftarkan middleware ini

protected $routeMiddleware = [
    // ...
    'role' => 'App\Http\Middleware\RoleMiddleware',
];

Cara menggunakan di route

Route::get('/backend', [
    'uses'       => 'BackendController@index',
    'middleware' => 'role:admin',
]);

Kesimpulan

Membuat fitur access control itu sangat mudah. Anda bisa menambahkan fitur-fitur lain seperti “permissions”, multiple role check:

Auth::user()->hasRole(['admin', 'operator', 'moderator']);

// atau

Auth::user()->hasRole('admin', 'operator', 'moderator');
dengan 

Atau fitur-fitur lainnya yang anda butuhkan. Sehingga anda tidak mentok karena bergantung terhadap suatu package.

Jika ada pertanyaan silahkan tanyakan pada kolom komentar.

UPDATE 24 Juni 2015

Contoh code bisa dilihat di https://github.com/mul14/laravel-acl-demo

UPDATE 25 September 2015

Tambahin pengecekan string pada assignRole() dan revokeRole(), juga update source code di GitHub https://github.com/mul14/laravel-acl-demo