Đây là bài 1 trong phần 5 của chuỗi demo “Laravel đáng tin cậy: Từ request đến công việc nền”. Các quyết định về validation, phân quyền, transaction và queue trong ứng dụng quản lý học tập. Bài viết dùng ví dụ và dữ liệu giả để minh họa; hãy thử trên môi trường riêng trước khi áp dụng vào dự án.
Mục tiêu cụ thể
Xác thực trả lời người dùng là ai; phân quyền quyết định họ được làm gì với tài nguyên cụ thể. Policy nên kiểm tra cả quan hệ sở hữu và quyền quản trị khi phù hợp.
Hiểu vấn đề trước khi dùng công cụ
Chương này tập trung vào một quyết định cụ thể: Thiết kế quyền sửa khóa học: tác giả sửa được của mình, người khác nhận 403; bổ sung trường hợp quản trị theo yêu cầu riêng. Đừng bắt đầu bằng cách chép nguyên ví dụ. Hãy chỉ ra thành phần nào là dữ liệu, thành phần nào là quy tắc và đâu là kết quả quan sát được. Một giải pháp đúng với dữ liệu mẫu vẫn có thể sai khi đầu vào rỗng, kích thước lớn hơn hoặc có hai thao tác xảy ra gần nhau.
Ví dụ tối thiểu
public function update(User $user, Course $course): bool
{
return $course->instructor_id === $user->id;
}
// Trong controller:
// Gate::authorize("update", $course);Giới hạn cần hiểu
Ẩn nút trên giao diện không ngăn request trực tiếp. Phải kiểm tra quyền tại endpoint ghi dữ liệu.
Câu hỏi để tự giải thích
- Bạn sẽ giải thích policy và quyền truy cập cho người mới bằng ví dụ nào?
- Phần nào của ví dụ là giả định, phần nào cần kiểm tra bằng thực nghiệm?
- Nếu bỏ một điều kiện quan trọng, kết quả sẽ sai ở đâu?
Kết quả cần đạt
- Người ngoài không sửa được tài nguyên
- Kiểm tra quyền trước thao tác ghi
- Bài kiểm tra có ít nhất hai người dùng
Trước khi chuyển bài, hãy viết một đoạn giải thích bằng lời của bạn và chỉ ra ít nhất một trường hợp không nên áp dụng máy móc ví dụ này.