src/Security/ReservationVoter.php line 11

Open in your IDE?
  1. <?php
  3. namespace App\Security;
  5. use App\Entity\Reservation;
  6. use App\Entity\User;
  7. use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
  8. use Symfony\Component\Security\Core\Authorization\Voter\Voter;
  9. use Symfony\Component\Security\Core\Security;
  11. class ReservationVoter extends Voter
  12. {
  13.     private $security;
  14.     // these strings are just invented: you can use anything
  15.     const VIEW = 'view';
  16.     const EDIT = 'edit';
  18.     public function __construct(Security $security)
  19.     {
  20.         $this->security = $security;
  21.     }
  23.     protected function supports(string $attribute, $subject)
  24.     {
  25.         // if the attribute isn't one we support, return false
  26.         if (!in_array($attribute, [self::VIEW, self::EDIT])) {
  27.             return false;
  28.         }
  29.         // only vote on `Post` objects
  30.         if (!$subject instanceof Reservation) {
  31.             return false;
  32.         }
  33.         return true;
  34.     }
  36.     protected function voteOnAttribute(string $attribute, $subject, TokenInterface $token)
  37.     {
  38.         $user = $token->getUser();
  39.         if (!$user instanceof User) {
  40.             // the user must be logged in; if not, deny access
  41.             return false;
  42.         }
  44.         // you know $subject is a Reservation object, thanks to `supports()`
  45.         /** @var Reservation $reservation */
  46.         $reservation = $subject;
  49.         if ($this->security->isGranted(User::ROLE_ADMIN) || $this->security->isGranted(User::ROLE_MANAGER)) {
  50.             return true;
  51.         }
  52.         switch ($attribute) {
  53.             case self::VIEW:
  54.                 return $this->canView($reservation, $user);
  55.             case self::EDIT:
  56.                 return $this->canEdit($reservation, $user);
  57.         }
  59.         throw new \LogicException('This code should not be reached!');
  60.     }
  62.     private function canView(Reservation $reservation, User $user)
  63.     {
  64.         // if they can edit, they can view
  65.         if ($this->canEdit($reservation, $user)) {
  66.             return true;
  67.         }
  68.     }
  70.     private function canEdit(Reservation $reservation, User $user)
  71.     {
  72.         // this assumes that the Reservation object has a `getOwner()` method
  73.         return $user->getId() === $reservation->getUserId();
  74.     }
  75. }