src/Security/Voters/MeetingVoter.php line 14

Open in your IDE?
  1. <?php
  4. namespace App\Security\Voters;
  7. use App\Entity\Meeting;
  8. use App\Entity\OperatoreUser;
  9. use App\Entity\User;
  10. use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
  11. use Symfony\Component\Security\Core\Authorization\Voter\Voter;
  12. use Symfony\Component\Security\Core\Security;
  14. class MeetingVoter extends Voter
  15. {
  16.   const EDIT = 'edit';
  17.   const VIEW = 'view';
  18.   const DELETE = 'delete';
  21.   private $security;
  23.   public function __construct(Security $security)
  24.   {
  25.     $this->security = $security;
  26.   }
  28.   protected function supports($attribute, $subject)
  29.   {
  30.     // if the attribute isn't one we support, return false
  31.     if (!in_array($attribute, [self::EDIT, self::VIEW, self::DELETE])) {
  32.       return false;
  33.     }
  35.     // only vote on `Meeting` objects
  36.     if ($subject && !$subject instanceof Meeting) {
  37.       return false;
  38.     }
  40.     return true;
  41.   }
  43.   protected function voteOnAttribute($attribute, $subject, TokenInterface $token)
  44.   {
  45.     $user = $token->getUser();
  47.     if (!$user instanceof User) {
  48.       // the user must be logged in; if not, deny access
  49.       return false;
  50.     }
  52.     // you know $subject is a Meeting object, thanks to `supports()`
  53.     /** @var Meeting $meeting */
  54.     $meeting = $subject;
  56.     switch ($attribute) {
  57.       case self::EDIT:
  58.         return $this->canEdit($meeting, $user);
  59.       case self::VIEW:
  60.         return $this->canView($meeting, $user);
  61.       case self::DELETE:
  62.         return $this->canDelete($meeting, $user);
  63.     }
  65.     throw new \LogicException('This code should not be reached!');
  66.   }
  68.   private function canView(Meeting $meeting, User $user)
  69.   {
  70.     // if they can edit, they can view
  71.     if ($this->canEdit($meeting, $user)) {
  72.       return true;
  73.     }
  74.     return $user->getId() === $meeting->getUserId();
  75.   }
  77.   private function canEdit(Meeting $meeting, User $user)
  78.   {
  79.     $calendar = $meeting->getCalendar();
  80.     if ($this->security->isGranted('ROLE_ADMIN')) {
  81.       return true;
  82.     }
  83.     if ($this->security->isGranted('ROLE_OPERATORE')) {
  84.       /** @var OperatoreUser $user */
  85.       if ($user->getId() === $calendar->getOwnerId() || in_array($user->getId(), $calendar->getModeratorsId())) {
  86.         return true;
  87.       }
  88.     }
  89.     return false;
  90.   }
  92.   private function canDelete(Meeting $meeting, User $user)
  93.   {
  94.     // if they can edit, they can delete
  95.     if ($this->canEdit($meeting, $user)) {
  96.       return true;
  97.     }
  98.     return false;
  99.   }
  100. }