Bài đọc

Policy và quyền truy cập: tình huống lỗi và cách chẩn đoán

3 phút đọc

Đây là bài 4 của chương 5: Policy và quyền truy cập, thuộc khóa demo Laravel Backend. Nội dung được dùng để trải nghiệm cấu trúc chương trình học; hãy thực hành trên dữ liệu và môi trường thử nghiệm riêng. Trong dự án xuyên suốt, bạn sẽ xây dựng backend quản lý khóa học, bài học và tiến độ học tập.

Mục tiêu cụ thể

Xác thực trả lời người dùng là ai; phân quyền quyết định họ được làm gì với tài nguyên cụ thể. Policy nên kiểm tra cả quan hệ sở hữu và quyền quản trị khi phù hợp.

Tình huống lỗi

Ẩn nút trên giao diện không ngăn request trực tiếp. Phải kiểm tra quyền tại endpoint ghi dữ liệu.

Chẩn đoán có bằng chứng

Trong bài policy và quyền truy cập, hãy cố ý tái hiện tình huống trên ở môi trường thử nghiệm. Mục tiêu là thấy vì sao kết quả sai và thu thập đủ bằng chứng để phân biệt lỗi dữ liệu, lỗi quy tắc và lỗi cấu hình. Không sửa đồng thời nhiều yếu tố vì bạn sẽ khó xác định nguyên nhân.

Ghi rõ bước thao tác và kết quả mong đợi.
Thu nhỏ ví dụ đến mức vẫn tái hiện được lỗi.
Đối chiếu dữ liệu thực với giả định ban đầu.
Đặt giả thuyết và thay đổi một yếu tố.
Xác nhận bằng cách tái chạy ví dụ tối thiểu.

Mẫu đối chiếu

public function update(User $user, Course $course): bool
{
    return $course->instructor_id === $user->id;
}
// Trong controller:
// Gate::authorize("update", $course);

Kiểm tra sau sửa

Người ngoài không sửa được tài nguyên
Kiểm tra quyền trước thao tác ghi
Bài kiểm tra có ít nhất hai người dùng

Khi lỗi biến mất, thực hiện lại yêu cầu gốc: Thiết kế quyền sửa khóa học: tác giả sửa được của mình, người khác nhận 403; bổ sung trường hợp quản trị theo yêu cầu riêng. Sau đó thử trường hợp đầu vào rỗng hoặc trạng thái chưa được khởi tạo nếu phù hợp. Một bản sửa phải khôi phục hành vi đã định nghĩa, không chỉ làm mất thông báo lỗi.

Ghi chú bàn giao