Page contents

認証

class AuthComponent(ComponentCollection $collection, array $settings = array())

ユーザを識別し、認証し、権限を付与することは、ほとんどすべてのWebアプリケーションに共通の機能です。 CakePHP の AuthComponent ではそういったタスクを実行するためのプラガブルな方法を提供します。 AuthComponent により、認証オブジェクトと、ユーザの権限を識別・判定する柔軟な仕組みを作るための権限判定オブジェクトを組み合わせることができるようになります。

認証

認証とは、与えられた認証情報によりユーザを識別し、そのユーザが言うとおりの人物であることを確実なものにする処理のことです。 たいていの場合、これはユーザ名とパスワードにより行われ、それと既知のユーザリストを照らし合わせます。 CakePHP には、あなたのアプリケーション内に保管されているユーザを認証するための組み込み済みの方法がいくつか存在します。

  • FormAuthenticate では、POSTされたデータをもとに認証を行うことが可能です。 通常これは、ユーザが情報を入力するログインフォームです。
  • BasicAuthenticate では、Basic HTTP 認証を使った認証を行うことが可能です。
  • DigestAuthenticate では、ダイジェスト HTTP 認証を使った認証を行うことが可能です。

デフォルトで AuthComponentFormAuthenticate を使用します。

認証タイプの選択

大抵の場合はフォームに基づく認証を利用したいと思うでしょう。これはWebブラウザを使うユーザにとってはもっとも簡単な方法です。もし、APIやWebサービスを構築しているなら、Basic認証やダイジェスト認証も考慮したくなるかもしれません。 ダイジェスト認証とBasic認証の重要な違いはほとんどどのようにパスワードを扱うかということにあります。 Basic認証では、ユーザ名とパスワードは平文のテキストとしてサーバに送信されます。 そのため Basic認証は SSL を使わないアプリケーションには向いていません。これは、慎重に扱うべきパスワードが露出してしまう可能性があるためです。 ダイジェスト認証はユーザ名やパスワード、そのほかのいくつかの詳細情報のダイジェストハッシュを使います。 そのため ダイジェスト認証は SSL を使わないアプリケーションにもふさわしいものです。

また、OpenID のような認証システムを使うことも可能です。ただし、OpenID は CakePHP のコアには含まれません。

認証を設定するためのハンドラ

認証ハンドラは $this->Auth->authenticate を使って設定します。 認証に使うハンドラを1つもしくは複数設定することができます。 複数のハンドラを設定することで、複数のログインの仕組みをサポートすることが可能です。 ユーザがログインする際、認証ハンドラは宣言されている順に判定されます。 あるハンドラで識別ができたら、それ以降のハンドラでは判定されません。 逆に、例外を投げることですべての認証を失敗にすることもできます。 投げられたいかなる例外もキャッチしなければならず、必要に応じてそれらに対処しなければなりません。

コントローラの beforeFilter の中、もしくは $components 配列の中に、認証ハンドラをいくつでも設定することができます。 次のようにすることで各認証オブジェクトへと設定情報を渡すことができます:

<?php
// 基本的な設定法
$this->Auth->authenticate = array('Form');

// 設定を中に記述
$this->Auth->authenticate = array(
    'Form' => array('userModel' => 'Member'),
    'Basic' => array('userModel' => 'Member')
);

上記の2つ目のブロックでは、``userModel`` キーを2回宣言しなければならないということに気づいたでしょう。 コードをDRYに保ちたいなら、``all`` キーを使うことができます。 この特別なキーを使うことで、列挙したオブジェクトすべてに設定が渡されることになります。 all キーは AuthComponent::ALL と記述することもできます:

<?php
// 'all' を使って設定を記述
$this->Auth->authenticate = array(
    AuthComponent::ALL => array('userModel' => 'Member'),
    'Form',
    'Basic'
);

上記の例では、``Form`` と Basic の両方ともが ‘all’ キーで宣言された設定を取得することになります。 特定の認証オブジェクトに個別に書いた設定は ‘all’ キーの同名のキーの情報をオーバーライドします。 コアの認証オブジェクトでは次の設定キーをサポートしています。

  • fields ユーザを識別するのに使う列名の配列。

  • userModel User のモデル名。デフォルトは User。

  • scope 認証するユーザを検索する際に使う、追加の条件。例: array('User.is_active' => 1).

  • contain ユーザのレコードがロードされた際に含めることのできるオプション。

    バージョン 2.2 で追加.

配列 $components の中でユーザの特定の列名を設定するには:

<?php
// $components 配列の中で設定を記述
public $components = array(
    'Auth' => array(
        'authenticate' => array(
            'Form' => array(
                'fields' => array('username' => 'email')
            )
        )
    )
);

ノート

Auth の他の設定キー(authError や loginAction など)を authenticate や Form の下位要素として書いてはいけません。 それらは authenticate キーと同じレベルであるべきです。 上記の例を他の Auth 設定を使って書いた場合は次のようになります:

<?php
// $components 配列の中で設定を記述
public $components = array(
    'Auth' => array(
        'loginAction' => array(
            'controller' => 'users',
            'action' => 'login',
            'plugin' => 'users'
        ),
        'authError' => 'Did you really think you are allowed to see that?',
        'authenticate' => array(
            'Form' => array(
                'fields' => array('username' => 'email')
            )
        )
    )
);

共通の設定に加えて、Basic 認証では次のキーも利用できます:

  • realm 認証される realm。デフォルトでは ``env(‘SERVER_NAME’)``。

共通の設定に加えて、ダイジェスト認証では次のキーも利用できます:

  • realm realm 認証の認証先。デフォルトはサーバ名。
  • nonce 認証で使われる nonce。デフォルトは ``uniqid()``。
  • qop デフォルトは auth。現時点では他の値はサポートされていない。
  • opaque クライアントから変更されることなく戻されるべき文字列。デフォルトでは ``md5($settings[‘realm’])``。

カスタム認証オブジェクトの作成

認証オブジェクトはプラガブルなので、カスタム認証オブジェクトを自分のアプリケーション内にでも、プラグインとしてでも作成が可能です。 もし例えば、OpenID 認証オブジェクトを作成したいのだとしたら、``app/Controller/Component/Auth/OpenidAuthenticate.php`` の中で次のように記述することができます:

<?php
App::uses('BaseAuthenticate', 'Controller/Component/Auth');

class OpenidAuthenticate extends BaseAuthenticate {
    public function authenticate(CakeRequest $request, CakeResponse $response) {
        // OpenID 用の処理をここに記述します。
    }
}

認証オブジェクトは、ユーザを識別できなかった場合に false を返さなければなりません。 そして、可能ならユーザ情報の配列も返すべきでしょう。 BaseAuthenticate を継承しなくてもかまいません。独自の認証オブジェクトには authenticate() メソッドが実装されていればよいのです。 BaseAuthenticate クラスではよく使われる強力なメソッドが多数提供されます。 また、独自の認証オブジェクトがステートレス認証やクッキーレス認証をサポートする必要があるなら、``getUser()`` メソッドを実装することもできます。 詳細は下記の Basic/ダイジェスト認証のセクションを参照してください。

カスタム認証オブジェクトの利用

カスタム認証オブジェクトを作成したら、AuthComponents の authenticate 配列内にそれを含めることで利用することができます:

<?php
$this->Auth->authenticate = array(
    'Openid', // app内の認証オブジェクト
    'AuthBag.Combo', // プラグインの認証オブジェクト
);

ユーザの識別とログイン

以前の AuthComponent は自動的にログインを行っていました。 これに混乱する人が多く、時には AuthComponent の利用をやや難しくしていました。 2.0 でログインしたい場合には、手動で $this->Auth->login() を呼び出す必要があります。

ユーザを認証する際には、設定されている認証オブジェクトを設定された順にチェックしていきます。 あるオブジェクトでユーザが識別できたら、以降のオブジェクトはチェックされません。 ログインフォームと連携する単純な login 関数なら次のようになります:

<?php
public function login() {
    if ($this->request->is('post')) {
        if ($this->Auth->login()) {
            return $this->redirect($this->Auth->redirect());
        } else {
            $this->Session->setFlash(__('ユーザ名もしくはパスワードが正しくありません。'), 'default', array(), 'auth');
        }
    }
}

上記のコードは(``login`` メソッドに渡される情報以外は)、POSTデータを使ってユーザをログインさせようとします。 ログインが成功ならユーザが最後に訪れていたページか AuthComponent::$loginRedirect へと redirect します。ログインが失敗なら、フラッシュメッセージがセットされます。

警告

1.3 の $this->Auth->login($this->data) では、ユーザの識別を試みて成功したときのみログインが行われましたが、 2.0 では $this->Auth->login($this->request->data) でなにが POST されたのだとしてもログインを行います。

ログインでのダイジェスト認証・Basic認証の利用

Basic認証・ダイジェスト認証では、ログイン処理の前に実行される、最初の POST を必要としないため、あなたが実装した login() 関数は FormAuthentication を使う場合とい若干異なります:

<?php
public function login() {
    if ($this->Auth->login()) {
        return $this->redirect($this->Auth->redirect());
    } else {
        $this->Session->setFlash(__('ユーザ名もしくはパスワードが正しくありません。'), 'default', array(), 'auth');
    }
}

ログイン後、ダイジェスト認証・Basic認証を使うユーザはクッキーが必要ありません。 実際のところ、すべての認証オブジェクトは getUser() メソッドを実装することで ステートレス な認証を提供することが可能です。 クライアントがクッキーをサポートする場合は、Basic認証もダイジェスト認証も、他の認証オブジェクトと同様にセッションにユーザを保管します。 クライアントがクッキーをサポートしない場合(CURL上に構築された単純なHTTPクライアントなどの場合)は、ステートレス認証もサポートされます。 ステートレス認証はリクエストごとにユーザの認証情報を再照合します。これにより若干のオーバーヘッドが生まれますが、クッキーをサポートしないかできないユーザでもログインできるようになります。

ステートレス認証システムの作成

認証オブジェクトはクッキーに依存しないユーザログインのシステムをサポートするために使われる getUser() メソッドを実装することができます。 典型的な getUser メソッドはリクエストや環境を見て、ユーザを識別するためにその情報を使います。 HTTP Basic認証の例を挙げると、ユーザ名とパスワードの値として $_SERVER['PHP_AUTH_USER']$_SERVER['PHP_AUTH_PW'] を使います。 リクエストごとに、もしクライアントがクッキーをサポートしていないなら、それらの値を再度ユーザを識別するために使い、正規のユーザであることを確認します。 認証オブジェクトの authenticate() メソッドと同様に、``getUser()`` メソッドも成功ならユーザ情報の配列を、失敗なら false を返すようにしてください:

<?php
public function getUser($request) {
    $username = env('PHP_AUTH_USER');
    $pass = env('PHP_AUTH_PW');

    if (empty($username) || empty($pass)) {
        return false;
    }
    return $this->_findUser($username, $pass);
}

上記では HTTP Basic認証用の getUser メソッドをどのように実行できるのかを示しています。 _findUser() メソッドは BaseAuthenticate の一部でユーザ名、パスワードをもとにユーザを識別します。

認証についてのフラッシュメッセージの表示

Auth が生成するセッションエラーメッセージを表示するためには、次のコードをあなたのレイアウトに加えなければなりません。 app/View/Layouts/default.ctp ファイルに次の2行を加えてください。content_for_layout 行の前にある body 部の中がよいでしょう:

<?php
echo $this->Session->flash();
echo $this->Session->flash('auth');
?>

AuthComponent の flash 設定を使うことでエラーメッセージをカスタマイズすることができます。 $this->Auth->flash を使うことで、AuthComponent がフラッシュメッセージのために使うパラメータを設定することができます。 利用可能なキーは次のとおりです。

  • element - 使用されるエレメント。デフォルトは ‘default’
  • key - 使用されるキー。デフォルトは ‘auth’
  • params - 使用される追加の params 配列。デフォルトは array()

フラッシュメッセージの設定だけでなく、AuthComponent が使用する他のエラーメッセージをカスタマイズすることもできます。 あなた自身のコントローラの beforeFilter の中や component の設定で、認証が失敗した際に使われるエラーをカスタマイズするのに authError を使うことができます:

<?php
$this->Auth->authError = "このエラーは保護されたWebサイトの一部にユーザがアクセスしようとした際に表示されます。";

パスワードのハッシュ化

AuthComponent がもはや自動ではパスワードをハッシュ化しなくなったことに、気づいたかもしれません。 これは妥当性チェックのような多くの共通タスクを難しいものにしていたため、取り除かれました。 パスワードを平文テキストのまま保管しては **いけません**。ユーザのレコードを保存する前に、パスワードは必ずハッシュ化するべきです。 ユーザを保存する前にパスワードをハッシュ化するために、static の AuthComponent::password() を使うことができます。 これはあなたのアプリケーションでハッシュ化する際の戦略を設定するために使われるものです。

パスワードの妥当性チェックのあと、あなたのモデルの beforeSave コールバックの中でパスワードをハッシュ化することができます:

<?php
class User extends AppModel {
    public function beforeSave($options = array()) {
        $this->data['User']['password'] = AuthComponent::password($this->data['User']['password']);
        return true;
    }
}

$this->Auth->login() を呼び出す前にパスワードをハッシュ化する必要はありません。 さまざまな認証オブジェクトが個々にパスワードをハッシュ化します。 ダイジェスト認証を使う場合、パスワードの生成に AuthComponent::password() を使ってはいけません。 ダイジェストのハッシュを生成する方法については下記を参照してください。

ダイジェスト認証のパスワードのハッシュ化

ダイジェスト認証は RFC で定義されたフォーマットでハッシュ化されたパスワードが必要です。 パスワードをダイジェスト認証で使用できるよう正しくハッシュ化するために、特別なパスワードハッシュ化の関数 DigestAuthenticate を使ってください。 ダイジェスト認証とその他の認証戦略を合わせて利用する場合には、通常のハッシュ化パスワードとは別のカラムでダイジェストパスワードを保管するのをお勧めします:

<?php
class User extends AppModel {
    public function beforeSave($options = array()) {
        // make a password for digest auth.
        $this->data['User']['digest_hash'] = DigestAuthenticate::password(
            $this->data['User']['username'], $this->data['User']['password'], env('SERVER_NAME')
        );
        return true;
    }
}

ダイジェスト認証用のパスワードは、ダイジェスト認証の RFC に基づき、他のハッシュ化パスワードよりもやや多くの情報を要求します。 ダイジェストハッシュのために AuthComponent::password() を使うとログインできなくなってしまいます。

ノート

AuthComponent::$authenticate 内で DigestAuthentication が設定された場合、 DigestAuthenticate::password() の第3パラメータは定義した ‘realm’ の設定値と一致する必要があります。このデフォルトは env('SCRIPT_NAME) です。 複数の環境で一貫したハッシュが欲しい場合に static な文字列を使いたいと思うかもしれません。

手動でのユーザログイン

独自のアプリケーションを登録した直後など、時には手動によるログインが必要になる事態が発生することもあるでしょう。 ログインさせたいユーザデータを引数に $this->Auth->login() を呼び出すことで、これを実現することができます:

<?php
public function register() {
    if ($this->User->save($this->request->data)) {
        $id = $this->User->id;
        $this->request->data['User'] = array_merge($this->request->data['User'], array('id' => $id));
        $this->Auth->login($this->request->data['User']);
        $this->redirect('/users/home');
    }
}

警告

login メソッドに渡される配列に新たなユーザIDが追加されていることを必ず確認してください。そうでない場合、そのユーザIDが利用できなくなってしまいます。

ログインしたユーザのアクセス

ユーザがログインしたあと、現状のそのユーザについての特定の情報が必要になることもあるでしょう。 AuthComponent::user() を使うことで、現在ログインしているそのユーザにアクセスすることができます。 このメソッドは static で、AuthComponent がロードされたあと、global に使うこともできます。 インスタンスメソッドとしても、static メソッドとしてもアクセス可能です:

<?php
// どこからでも利用できます。
AuthComponent::user('id')

// Controllerの中でのみ利用できます。
$this->Auth->user('id');

ログアウト

最終的には認証を解除し、適切な場所へとリダイレクトするためのてっとり早い方法がほしくなるでしょう。 このメソッドはあなたのアプリケーション内のメンバーページに ‘ログアウト’ リンクを入れたい場合にも便利です:

<?php
public function logout() {
    $this->redirect($this->Auth->logout());
}

ダイジェスト/Basic認証でログインしたユーザのログアウトを、すべてのクライアントで成し遂げるのは難しいものです。 多くのブラウザは開いている間だけ継続する認証情報を保有しています。 クライアントの中には 401 のステータスコードを送信して強制的にログアウトすることがありえます。 認証 realm の変更は、一部のクライアントで機能させるためのもう1つの解決法です。

権限判定

権限判定は識別され認証されたユーザが、要求するリソースへのアクセスを要求どおりに許可してよいのかを確たるものにするための処理です。 有効な AuthComponent が自動的に認証ハンドラをチェックし、ログインしたユーザが要求どおりにリソースへのアクセスを許可するかどうかを確認します。 組み込み済みの認証ハンドラがいくつか存在しますので、あなたのアプリケーション用にカスタム版を作成したり、プラグインの一部として作成することができます。

  • ActionsAuthorize アクションレベルでパーミッションをチェックするために AclComponent を使います。
  • CrudAuthorize リソースへのパーミッションをチェックするために、AclComponent と、アクション -> CRUD のマッピングを使います。
  • ControllerAuthorize アクティブなコントローラの isAuthorized() を呼び、ユーザの権限判定のために、その戻り値を使う。これはユーザの権限判定をもっともシンプルに行う方法です。

権限判定ハンドラの設定

権限判定ハンドラの設定は $this->Auth->authorize で行います。 1つ以上の権限判定のハンドラを設定できます。 複数のハンドラを使うことで、さまざまな権限判定の方法をサポートできます。 権限判定ハンドラがチェックされる際には、宣言された順に呼び出されます。 ハンドラは権限判定のチェックができなかったり、チェックが失敗なら、false を返してください。 権限判定のチェックができて、結果が成功なら、true を返してください。 ハンドラはいずれかに通過できるまで、順番に呼び出されます。 すべてのチェック結果が失敗なら、ユーザは元いたページへとリダイレクトされます。 また、例外を投げることですべての権限判定を失敗にすることができます。 投げられたいかなる例外もキャッチしなければならず、必要に応じてそれらに対処しなければなりません。

あなたのコントローラの beforeFilter の中や $components 配列の中で権限判定ハンドラの設定を行うことができます。 配列を使って、各権限判定オブジェクトに設定情報を渡すことができます:

<?php
// 基本的な設定法
$this->Auth->authorize = array('Controller');

// 設定を中に記述
$this->Auth->authorize = array(
    'Actions' => array('actionPath' => 'controllers/'),
    'Controller'
);

Auth->authorizeAuth->authenticate とほぼ同様で、``all`` キーを使うことでコードを DRY に保ちやすくなります。 この特別なキーにより、設定されたすべてのオブジェクトに渡す設定を記述することができます。 all キーは AuthComponent::ALL と記述することもできます:

<?php
// 'all' を使って設定を記述
$this->Auth->authorize = array(
    AuthComponent::ALL => array('actionPath' => 'controllers/'),
    'Actions',
    'Controller'
);

上記の例では、``Actions`` と Controller の両方ともが ‘all’ キーで宣言された設定を取得することになります。 特定の権限判定オブジェクトに個別に書いた設定は ‘all’ キーの同名のキーの情報をオーバーライドします。 コアの権限判定オブジェクトでは次の設定キーをサポートしています。

  • actionPath Used by ActionsAuthorize to locate controller action ACO’s in the ACO tree.
  • actionMap アクション -> CRUD のマッピング。CRUD ロールにアクションをマッピングしたい CrudAuthorize もしくは権限判定オブジェクトによって使われます。
  • userModel ARO/モデル のノード名。これ以下からユーザ情報を探します。ActionsAuthorize で使われます。

カスタム権限判定オブジェクトの生成

権限判定オブジェクトはプラガブルなので、カスタム権限判定オブジェクトを自分のアプリケーション内にでも、プラグインとしてでも作成が可能です。 もし例えば、LDAP 権限判定オブジェクトを作成したいのだとしたら、``app/Controller/Component/Auth/LdapAuthorize.php`` の中で次のように記述することができます:

<?php
App::uses('BaseAuthorize', 'Controller/Component/Auth');

class LdapAuthorize extends BaseAuthorize {
    public function authorize($user, CakeRequest $request) {
        // LDAP 用の処理をここに記述します。
    }
}

権限判定オブジェクトは該当ユーザがアクセスを拒否されたり、該当オブジェクトでのチェックができなかった場合には false を返してください。 権限判定オブジェクトがユーザのアクセスが妥当だと判定したなら true を返してください。 BaseAuthorize を継承する必要はありませんが、独自の権限判定オブジェクトは必ず authorize() メソッドを実装してください。 BaseAuthorize クラスではよく使われる強力なメソッドが多数提供されます。

カスタム権限判定オブジェクトの利用

カスタム権限判定オブジェクトを作成したら、AuthComponents の authorize 配列にそれらを含めることで使うことができます:

<?php
$this->Auth->authorize = array(
    'Ldap', // app内の権限判定オブジェクト
    'AuthBag.Combo', // プラグインの権限判定オブジェクト
);

権限判定を使用しない

組み込み済みのいずれの権限判定オブジェクトも使いたくなく、AuthComponent の外側で完全に権限を扱いたい場合は、``$this->Auth->authorize = false;`` を設定することが可能です。 デフォルトで AuthComponent は authorize = false となっています。 権限判定のスキーマを使いたくない場合は、コントローラの beforeFilter か、別のコンポーネントで権限を確実にチェックしてください。

公開するアクションの作成

コントローラのアクションが完全に公開すべきものであったり、ユーザのログインが不要であったりという場合があります。 AuthComponent は悲観的であり、デフォルトではアクセスを拒否します。 AuthComponent::allow() を使うことで、公開すべきアクションに印をつけることができます。 アクションに公開の印をつけることで、AuthComponent は該当のユーザがログインしているかのチェックも、権限判定オブジェクトによるチェックも行わなくなります:

<?php
// すべてのアクションを許可。 CakePHP 2.0
$this->Auth->allow('*');

// すべてのアクションを許可。 CakePHP 2.1
$this->Auth->allow();

// view と index アクションのみ許可。
$this->Auth->allow('view', 'index');

// view と index アクションのみ許可。
$this->Auth->allow(array('view', 'index'));

allow() には必要な数だけいくつでもアクション名を記述することができます。 すべてのアクション名を含む配列を渡してもかまいません。

権限判定が必要なアクションの作成

アクションを公開する形で作成したなら、公開アクションを取り消したくなるかもしれません。 そのためには AuthComponent::deny() を使うことができます:

<?php
// アクション1つを取り除く
$this->Auth->deny('add');

// すべてのアクションを取り除く
$this->Auth->deny();

// アクションのグループを取り除く
$this->Auth->deny('add', 'edit');
$this->Auth->deny(array('add', 'edit'));

deny() には必要な数だけいくつでもアクション名を記述することができます。 すべてのアクション名を含む配列を渡してもかまいません。

CrudAuthorize を使う場合のアクションのマッピング

CrudAuthorize やアクションマッピングを使う他の権限判定オブジェクトを使う場合、追加でモデルのマッピングが必要になるかもしれません。 その場合、mapAction() を使うことで、アクション -> CRUD パーミッションのマッピングを行うことができます。 AuthComponent のこのメソッドを呼び出すことで、設定済みのすべての権限判定オブジェクトに設定が渡されます:: ですので、設定がどこでも確実に適用されます:

<?php
$this->Auth->mapActions(array(
    'create' => array('register'),
    'view' => array('show', 'display')
));

mapActions のキーには設定したい CRUD パーミッションを指定してください。 一方、値には CRUD パーミッションにマッピングされたすべてのアクションの配列を設定してください。

ControllerAuthorize の利用

ControllerAuthorize を使うことで、コントローラのコールバックの中で権限判定チェックを扱うことができるようになります。 非常にシンプルな権限判定を行う場合や、権限判定を行うのにモデルとコンポーネントを合わせて利用する必要がある場合、しかしカスタム権限判定オブジェクトを作成したくない場合に、これは理想的です。

コールバックでは必ず isAuthorized() を呼んでください。これは該当ユーザがリクエスト内でリソースにアクセスすることが許可されるかを boolean で返します。 コールバックにはアクティブなユーザが渡されますので、チェックが可能です:

<?php
class AppController extends Controller {
    public $components = array(
        'Auth' => array('authorize' => 'Controller'),
    );
    public function isAuthorized($user = null) {
        // 登録済みユーザなら誰でも公開 function にアクセス可能です。
        if (empty($this->request->params['admin'])) {
            return true;
        }

        // adminユーザだけが管理 functions にアクセス可能です。
        if (isset($this->request->params['admin'])) {
            return (bool)($user['role'] === 'admin');
        }

        // デフォルトは拒否
        return false;
    }
}

上記のコールバックは非常にシンプルな権限判定システムとなっており、role = admin のユーザだけが admin に設定されたアクションにアクセスすることができます。

ActionsAuthorize の利用

ActionsAuthorize は AclComponent を取りまとめ、各リクエストでアクション ACL チェックをきめ細かに行うことができるようになります。 ActionsAuthorize は DbAcl とペアで使うことが多く、アプリケーションを通して管理ユーザにより編集されうる、動的かつ柔軟なパーミッションシステムを提供します。 それは、ただし、たとえば IniAcl とカスタムアプリケーション ACL バックエンドというように、他の ACL の実装と組み合わせることが可能です。

CrudAuthorize の利用

CrudAuthorize は AclComponent と一体となり、CRUD 操作へのリクエストをマッピングする機能を提供します。 CRUD マッピングを使った権限判定の機能を提供します。これらのマッピングされたリクエストは AclComponent 内で特別なパーミッションとしてチェックされます。

たとえば、``/posts/index`` を現在のリクエストであるとします。 デフォルトでは index にマッピングされますが、``read`` のパーミッションチェックを行います。 ACL チェックは posts コントローラの read パーミッションを使って行われることになります。 これにより、アクセスされたアクションにとどまらず、リソースへと行われる行為により焦点を合わせたパーミッションシステムを作ることができるようになります。

AuthComponent API

AuthComponent は CakePHP に組み込み済みの権限判定・認証メカニズムへの主要なインターフェイスです。

property AuthComponent::$ajaxLogin

不正な/期限切れのセッションを伴った Ajax リクエストの場合に render すべき任意のビューエレメントの名前。

property AuthComponent::$authenticate

ユーザのログインに使いたい認証オブジェクトの配列を設定してください。 コアの認証オブジェクトがいくつか存在します。 認証 を参照してください。

property AuthComponent::$authError

ユーザがアクセス権の無いオブジェクトやアクションにアクセスした場合に表示されるエラー。

property AuthComponent::$authorize

各リクエストでユーザの権限判定に使いたい権限判定オブジェクトの配列を設定してください。 権限判定 を参照してください。

property AuthComponent::$components

AuthComponent により利用される他のコンポーネント。

property AuthComponent::$flash

Auth が SessionComponent::setFlash() でフラッシュメッセージを行う必要がある場合に使用する設定。 次のキーが利用可能:

  • element - 使用するエレメント。デフォルトで ‘default’。
  • key - 使用するキー。デフォルトで ‘auth’。
  • params - 追加で使用するパラメータの配列。デフォルトで array()。
property AuthComponent::$loginAction

ログインを扱うコントローラとアクションを表す、(文字列や配列で定義した) URL。デフォルトで `/users/login`。

property AuthComponent::$loginRedirect

ログイン後のリダイレクト先のコントローラとアクションを表す、(文字列や配列で定義した) URL。 この値はユーザが Auth.redirect をセッション内に持っている場合には無視されます。

property AuthComponent::$logoutRedirect

ユーザがログアウトした後のリダイレクト先となるデフォルトのアクション。 AuthComponent は post-logout のリダイレクトを扱いませんが、リダイレクト先の URL は AuthComponent::logout() から返されるものとなります。 デフォルトは :php:attr:`AuthComponent::$loginAction`。

property AuthComponent::$request

リクエストオブジェクト。

property AuthComponent::$response

レスポンスオブジェクト。

property AuthComponent::$sessionKey

現在のユーザレコードが保存されているセッションのキー名。指定がない場合は “Auth.User” となる。

AuthComponent::allow($action[, $action, ...])

公開するアクションの配列。これで指定したアクションは権限判定チェックが行われません。 特別な値 '*' は対象コントローラのすべてのアクションを公開に設定します。コントローラの beforeFilter メソッド内で使ってください。

AuthComponent::constructAuthenticate()

設定済みの認証オブジェクトを読み込む。

AuthComponent::constructAuthorize()

設定済みの権限判定オブジェクトを読み込む。

AuthComponent::deny($action[, $action, ...])

以前に公開アクションとして宣言されていたアクションを非公開へと変更する。 こうすることで、これらのアクションも権限判定されることになります。コントローラの beforeFilter メソッド内で使ってください。

AuthComponent::flash($message)

フラッシュメッセージを設定します。セッションコンポーネントを使い、値は AuthComponent::$flash から取得します。

AuthComponent::identify($request, $response)
パラメタ:
  • $request (CakeRequest) – 使用されるリクエスト。
  • $response (CakeResponse) – 使用されるレスポンス。認証が失敗なら、ヘッダーを送信できる。

このメソッドは AuthComponent が現在のリクエストに含まれる情報に基づき、ユーザを識別するために使います。

AuthComponent::initialize($Controller)

AuthComponent をコントローラ内で使えるように初期化します。

AuthComponent::isAuthorized($user = null, $request = null)

ユーザに権限があるかどうかをチェックするために、設定された権限判定アダプタを使用します。 各アダプタは順にチェックされます。いずれかが true を返したら、ユーザはそのリクエストで権限ありとみなされます。

AuthComponent::loggedIn()

現在のクライアントがログイン済みなら true を返します。そうでないなら false を返します。

AuthComponent::login($user)
パラメタ:
  • $user (array) – ログインしたユーザのデータ配列。

ログインしたユーザのデータ配列を取得します。手動でユーザをログインさせることも可能になります。 提供された情報は user() の呼び出しによりセッションへと保存されます。 ユーザが提供されない場合、AuthComponent は現在のリクエスト情報を使って識別しようとします。 AuthComponent::identify() を参照してください。

AuthComponent::logout()
戻り値:ログアウトでリダイレクト先となる URL の文字列。

現在のユーザをログアウトさせます。

AuthComponent::mapActions($map = array())

アクション名と CRUD 操作をマッピングします。コントローラに基づく認証で使用されます。 このメソッドを呼ぶ前に権限判定プロパティの設定を確認してください。 設定されているすべての権限判定オブジェクトに $map が渡されるためです。

static AuthComponent::password($pass)

アプリケーションのソルト値をい使ってパスワードをハッシュ化する。

AuthComponent::redirect($url = null)

パラメータが渡されなかったら、認証のリダイレクト URL を取得します。 ログイン後、リダイレクト先となる URL を渡します。 リダイレクトの値が保存されないなら、:php:attr:AuthComponent::$loginRedirect へとフォールバックします。

AuthComponent::shutdown($Controller)

コンポーネントをシャットダウンします。ユーザがログインしているなら、リダイレクトを行いません。

AuthComponent::startup($Controller)

主要な実行メソッドです。不正なユーザのリダイレクトやログインフォームのデータ処理を扱います。

static AuthComponent::user($key = null)
パラメタ:
  • $key (string) – フェッチしたいユーザデータのキー。null ならユーザの全データが返される。インスタンスメソッドとしても呼び出し可能。

ログインしている現在のユーザのデータを取得する。プロパティのキーを使用することで、このユーザについて特定のデータをフェッチすることが可能:

<?php
$id = $this->Auth->user('id');

現在のユーザがログインしていない、もしくは存在しないなら、null が返される。