如何使用Dancer2 :: Plugin :: Auth :: Extensible處理鎖定/禁用的用戶帳戶？

Question

我目前正在將CGI應用程序遷移到Dancer2。我以前使用了使用MySQL的「手工製作」身份驗證機制，並使用了屬性爲email,password和state的用戶表。 state表示賬戶是active還是locked。 locked表示帳戶被禁用（邏輯刪除）。

我也有表roles和user_roles來實現我的兩個角色：管理員和用戶。

一切工作就像一個魅力，但有一個例外：

用我的舊的「手工製作」的機制，我能夠鎖用戶，即邏輯刪除而不從數據庫中刪除它們。只有當電子郵件和hash_of（密碼）匹配和帳戶未被鎖定時，登錄纔會成功。

如何使用Dancer2::Plugin::Auth::Extensible和Dancer2::Plugin::Auth::Extensible::Provider::Database來實現？

我希望鉤after_authenticate_user可以返回true或false覆蓋的authenticate_user的結果，但事實並非如此。至少，它沒有記錄。

我想到的一件事是有一個額外的角色active，然後 - 對於每個路線 - require_role active而不是隻有require_login。

所以我的問題是：我如何才能使Dancer2::Plugin::Auth::Extensible只考慮active用戶？

Answer 1

Borodin suggested創建視圖並將其用作用戶表。我已經做了一些測試，可以說這確實是實現這一點的最簡單方法。

警告：由於視圖的性質，這使得應用程序無法修改或添加用戶！

請考慮以下Dancer2申請。我從dancer2創建腳本開始。

$ dancer2 gen -a Foo 
$ cd Foo 

我創建了以下簡單的sqlite數據庫。

$ echo " 
CREATE TABLE users (
    id  INTEGER  PRIMARY KEY AUTOINCREMENT, 
    username VARCHAR(32) NOT NULL UNIQUE, 
    password VARCHAR(40) NOT NULL, 
    disabled TIMESTAMP NULL 
); 

CREATE VIEW active_users (id, username, password) AS 
    SELECT id, username, password FROM users WHERE disabled IS NULL; 

INSERT INTO users (username, password, disabled) 
VALUES ('foo', 'test', null), 
     ('bar', 'test', '2017-10-01 10:10:10'); 
" | sqlite3 foo.sqlite 

只有一個users表由插件建議的默認列，加上列disabled，其可以是或NULL一個時間戳。我認爲用禁用來說明比用有效更容易說明。我想對lib/Foo.pm做以下修改。所有這些基本上來自Dancer2::Plugin::Auth::Extensible和Dancer2::Plugin::Auth::Extensible::Provider::Database的文檔。

package Foo; 
use Dancer2; 
use Dancer2::Plugin::Database; 
use Dancer2::Plugin::Auth::Extensible; 

our $VERSION = '0.1'; 

get '/' => sub { 
    template 'index' => { 'title' => 'Foo' }; 
}; 

get '/users' => require_login sub { 
    my $user = logged_in_user; 
    return "Hi there, $user->{username}"; 
}; 

true; 

接下來，插件需要進入配置。編輯config.yml並用此替換它。

appname: "Foo" 
layout: "main" 
charset: "UTF-8" 
template: "simple" 
engines: 
    session: 
    Simple: 
     cookie_name: testapp.session 

# this part is interesting 
plugins: 
    Auth::Extensible: 
     realms: 
      users: 
       provider: 'Database' 

############### here we set the view 
       users_table: 'active_users' 
    Database: 
     driver: 'SQLite' 
     database: 'foo.sqlite' 
     on_connect_do: ['PRAGMA foreign_keys = ON'] 
     dbi_params: 
      PrintError: 0 
      RaiseError: 1 

現在我們都準備嘗試。

$ plackup bin/app.psgi 
HTTP::Server::PSGI: Accepting connections at http://0:5000/ 

在您的瀏覽器上訪問http://localhost:5000/users。你會看到默認的登錄表單。

輸入foo和test。這應該工作，你應該看到/users路線。 （或者不是，就像我的情況那樣，重定向似乎被打破了......）。

現在去http://localhost:5000/logout擺脫Foo的餅乾和開放http://localhost:5000/users一次。這次輸入bar和test。

你會看到登錄不起作用。

要反測試，更換config.yml的users_table並重新啓動應用程序。

# config.yml 
       users_table: 'users' 

現在用戶foo將能夠登錄。因爲數據庫處理所有的邏輯（並且很可能已經緩存了它），所以這種方法不僅易於實現，而且也應該是具有最高性能的方式。

您的應用程序，特別是身份驗證插件，也不需要了解活躍或禁用領域都存在。他們不需要關心。東西只會工作。

Answer 2

您可以繼承Dancer2::Plugin::Auth::Extensible::Provider::Database幷包裝get_user_details方法來檢查用戶是否處於活動狀態。

考慮我使用的相同的應用程序in my other answer。添加以下課程。

package Provider::Database::ActiveOnly; 

use Moo; 
extends 'Dancer2::Plugin::Auth::Extensible::Provider::Database'; 

around 'get_user_details' => sub { 
    my $orig = shift; 
    my $self = shift; 

    # do nothing if we there was no user 
    my $user = $self->$orig(@_) or return; 

    # do nothing if the user is disabled 
    return if $user->{disabled}; 

    return $user; 
}; 

1; 

代碼很簡單。用戶查看後，我們有用戶數據，所以我們可以檢查disabled列。如果有任何內容，用戶被禁用，我們中止。

您還需要對config.yml進行以下更改。

# config.yml 
plugins: 
    Auth::Extensible: 
     realms: 
      users: 
       provider: 'Provider::Database::ActiveOnly' 
       users_table: 'users' 

現在應用程序的行爲應該與其他答案完全相同。

---

要理解爲什麼這個工作，我們需要看看來源。認證發生在authenticate_user。起初我認爲這應該被替換，但是這個解決方案更聰明，因爲我們只需要獲取一次用戶數據。

該authenticate_user方法fetches the user data與the get_user_details method，所以我們可以在那裏掛鉤。我們的around wrapper將透明地注入用戶活躍性的檢查，而其餘的代碼甚至不知道有什麼區別。

非活動用戶不會出現在與Plugin :: Auth :: Extensible相關的任何交互中。