src/AppBundle/Security/Voter/BookingVoter.php line 11

Open in your IDE?
  1. <?php
  3. namespace AppBundle\Security\Voter;
  5. use AppBundle\Entity\Booking;
  6. use AppBundle\Entity\Customer;
  7. use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
  8. use Symfony\Component\Security\Core\Authorization\AccessDecisionManagerInterface;
  9. use Symfony\Component\Security\Core\Authorization\Voter\Voter;
  11. class BookingVoter extends Voter
  12. {
  13.     // these consts are the action that are voted on
  14.     public const EDIT = 'edit';
  15.     public const VIEW = 'view';
  17.     private $decisionManager;
  19.     public function __construct(AccessDecisionManagerInterface $decisionManager)
  20.     {
  21.         $this->decisionManager = $decisionManager;
  22.     }
  24.     protected function supports($attribute, $subject)
  25.     {
  26.         // if the attribute isn't one we support, return false
  27.         if (!in_array($attribute, [self::EDIT, self::VIEW])) {
  28.             return false;
  29.         }
  31.         // only vote on Booking objects inside this voter
  32.         if (!$subject instanceof Booking) {
  33.             return false;
  34.         }
  36.         return true;
  37.     }
  39.     protected function voteOnAttribute($attribute, $subject, TokenInterface $token)
  40.     {
  41.         $customer = $token->getUser();
  43.         if (!$customer instanceof Customer) {
  44.             // the customer must be logged in; if not, deny access
  45.             return false;
  46.         }
  48.         // you know $subject is a Booking object, thanks to supports
  49.         /** @var Booking $booking */
  50.         $booking = $subject;
  52.         switch ($attribute) {
  53.             case self::VIEW:
  54.                 return $this->canView($booking, $customer, $token);
  55.             case self::EDIT:
  56.                 return $this->canEdit($booking, $customer, $token);
  57.         }
  59.         throw new \LogicException('This code should not be reached!');
  60.     }
  62.     private function canEdit(Booking $booking, Customer $customer, TokenInterface $token)
  63.     {
  64.         // check if the customer is a admin
  65.         if ($this->decisionManager->decide($token, ['ROLE_ADMIN'])) {
  66.             return true;
  67.         }
  69.         return false;
  70.     }
  72.     private function canView(Booking $booking, Customer $customer, TokenInterface $token)
  73.     {
  74.         // if they can edit, they can view
  75.         if ($this->canEdit($booking, $customer, $token)) {
  76.             return true;
  77.         }
  79.         // check if the customer is associated with the booking
  80.         // and is therefore able to view it
  81.         if ($booking->getId() > 0) {
  82.             return $customer === $booking->getCustomer();
  83.         }
  85.         return false;
  86.     }
  87. }