cakephp - 默认情况下，所有类型的用户/角色都可以访问 CakeDC 管理员，确保其安全

Question

我安装了 CakeDC Users 插件，但发现 role、is_admin 默认情况下不起作用。如果我使用常规用户名 role=registered 和 is_admin=0 登录，我仍然可以转到 /admin/users/add/。为什么有两种类型的检查，role和is_admin，如果role=administrator和is_admin怎么办=0，或者反之亦然？

我正在寻找解决此问题的首选解决方案，以便我可以保护管理部分并在不同页面上使用用户角色。尽管如此，还是无法理解为什么 is_admin 会出现，而 role=administrator 可以处理这一切。

Answer 1

我通过在方法“beforeFilter()”中的“app/Controller/AppController.php”中添加以下代码解决了同样的问题:

    if (isset($this->params['prefix']) && $this->params['prefix'] == 'admin') {
        if ($this->Session->check('Auth.User.role') and 'admin' !== $this->Session->read('Auth.User.role')) {
            $this->Auth->deny('*');
            return $this->flash('Non admin access unauthorized', '/');
        }
    } 

虽然我承认这个解决方案不是最佳的，但它确实有效!