--- name: auth-rbac description: Implementação de autenticação e controle de acesso baseado em roles (RBAC) em Laravel incluindo Guards, Policies, Gates, Permissions, Middleware de autorização, e integração com pacotes como Spatie Permission. Usar para implementar login/registro, controle de acesso por perfil, permissões granulares, proteção de rotas, e auditoria de acessos. --- # Auth RBAC Skill para autenticação e controle de acesso baseado em roles em Laravel. ## Conceitos Fundamentais ``` ┌─────────────────────────────────────────────────────────────┐ │ HIERARQUIA RBAC │ ├─────────────────────────────────────────────────────────────┤ │ USER ──┬── ROLE ──┬── PERMISSION │ │ │ │ │ │ João ──┼── Admin ─┼── users.create │ │ │ ├── users.edit │ │ │ ├── users.delete │ │ │ └── contracts.* │ │ │ │ │ Maria ─┼── Manager ┼── users.view │ │ │ ├── contracts.create │ │ │ └── contracts.edit │ │ │ │ │ Pedro ─┴── Viewer ─┴── *.view │ └─────────────────────────────────────────────────────────────┘ ``` ## Setup com Spatie Permission ```bash # Instalar pacote composer require spatie/laravel-permission # Publicar migrations e config php artisan vendor:publish --provider="Spatie\Permission\PermissionServiceProvider" # Rodar migrations php artisan migrate ``` ### Configurar Model User ```php forgetCachedPermissions(); // Criar permissions $permissions = [ // Users 'users.view', 'users.create', 'users.edit', 'users.delete', // Contracts 'contracts.view', 'contracts.create', 'contracts.edit', 'contracts.delete', 'contracts.approve', // Payments 'payments.view', 'payments.create', 'payments.process', // Reports 'reports.view', 'reports.export', // Settings 'settings.view', 'settings.edit', ]; foreach ($permissions as $permission) { Permission::create(['name' => $permission]); } // Criar roles e atribuir permissions // Super Admin - todas as permissões $superAdmin = Role::create(['name' => 'super-admin']); $superAdmin->givePermissionTo(Permission::all()); // Admin - quase tudo, exceto settings $admin = Role::create(['name' => 'admin']); $admin->givePermissionTo([ 'users.view', 'users.create', 'users.edit', 'contracts.view', 'contracts.create', 'contracts.edit', 'contracts.delete', 'contracts.approve', 'payments.view', 'payments.create', 'payments.process', 'reports.view', 'reports.export', ]); // Manager - gerencia contratos e pagamentos $manager = Role::create(['name' => 'manager']); $manager->givePermissionTo([ 'users.view', 'contracts.view', 'contracts.create', 'contracts.edit', 'payments.view', 'payments.create', 'reports.view', ]); // Operator - operações básicas $operator = Role::create(['name' => 'operator']); $operator->givePermissionTo([ 'contracts.view', 'contracts.create', 'payments.view', ]); // Viewer - apenas visualização $viewer = Role::create(['name' => 'viewer']); $viewer->givePermissionTo([ 'contracts.view', 'payments.view', 'reports.view', ]); // Criar super admin inicial $user = \App\Models\User::factory()->create([ 'name' => 'Super Admin', 'email' => 'admin@sistema.com', ]); $user->assignRole('super-admin'); } } ``` ## Gates e Policies ### Definir Gates ```php \App\Policies\ContractPolicy::class, ]; public function boot(): void { // Super admin bypassa todas as verificações Gate::before(function (User $user, string $ability) { if ($user->hasRole('super-admin')) { return true; } }); // Gates customizados Gate::define('access-admin', function (User $user) { return $user->hasAnyRole(['super-admin', 'admin']); }); Gate::define('view-reports', function (User $user) { return $user->hasPermissionTo('reports.view'); }); Gate::define('manage-team', function (User $user) { return $user->hasAnyRole(['super-admin', 'admin', 'manager']); }); } } ``` ### Criar Policy ```php hasRole('super-admin')) { return true; } return null; // Continua para os métodos específicos } /** * Pode listar contratos? */ public function viewAny(User $user): bool { return $user->hasPermissionTo('contracts.view'); } /** * Pode ver este contrato específico? */ public function view(User $user, Contract $contract): bool { // Pode ver se tem permissão OU se é dono do contrato return $user->hasPermissionTo('contracts.view') || $contract->user_id === $user->id; } /** * Pode criar contratos? */ public function create(User $user): bool { return $user->hasPermissionTo('contracts.create'); } /** * Pode editar este contrato? */ public function update(User $user, Contract $contract): bool { // Não pode editar contratos finalizados if ($contract->status === 'completed') { return false; } return $user->hasPermissionTo('contracts.edit') || $contract->user_id === $user->id; } /** * Pode excluir este contrato? */ public function delete(User $user, Contract $contract): bool { // Só admin pode excluir return $user->hasPermissionTo('contracts.delete'); } /** * Pode aprovar este contrato? */ public function approve(User $user, Contract $contract): bool { // Não pode aprovar próprio contrato if ($contract->user_id === $user->id) { return false; } return $user->hasPermissionTo('contracts.approve'); } } ``` ## Middleware de Autorização ### Registrar Middleware ```php withMiddleware(function (Middleware $middleware) { $middleware->alias([ 'role' => \Spatie\Permission\Middleware\RoleMiddleware::class, 'permission' => \Spatie\Permission\Middleware\PermissionMiddleware::class, 'role_or_permission' => \Spatie\Permission\Middleware\RoleOrPermissionMiddleware::class, ]); }) ``` ### Proteger Rotas ```php prefix('admin')->group(function () { Route::get('/dashboard', [AdminController::class, 'dashboard']); Route::resource('users', UserController::class); }); // Rotas por permissão Route::middleware(['auth', 'permission:contracts.view'])->group(function () { Route::get('/contracts', [ContractController::class, 'index']); }); Route::middleware(['auth', 'permission:contracts.create'])->group(function () { Route::get('/contracts/create', [ContractController::class, 'create']); Route::post('/contracts', [ContractController::class, 'store']); }); // Múltiplas permissões (qualquer uma) Route::middleware(['auth', 'permission:reports.view|reports.export'])->group(function () { Route::get('/reports', [ReportController::class, 'index']); }); // Rotas de API com Sanctum Route::middleware(['auth:sanctum', 'permission:api.access'])->prefix('api')->group(function () { Route::apiResource('contracts', Api\ContractController::class); }); ``` ## Uso em Controllers ```php authorizeResource(Contract::class, 'contract'); } public function index() { // Policy: viewAny já verificada pelo authorizeResource $contracts = Contract::paginate(); return view('contracts.index', compact('contracts')); } public function show(Contract $contract) { // Policy: view já verificada return view('contracts.show', compact('contract')); } public function approve(Contract $contract) { // Verificação manual para ação customizada $this->authorize('approve', $contract); $contract->update(['status' => 'approved']); return redirect()->back()->with('success', 'Contrato aprovado!'); } public function massDelete(Request $request) { // Verificar permissão diretamente if (!auth()->user()->hasPermissionTo('contracts.delete')) { abort(403, 'Acesso negado'); } Contract::whereIn('id', $request->ids)->delete(); return response()->json(['message' => 'Contratos excluídos']); } } ``` ## Uso em Blade ```blade {{-- Verificar Role --}} @role('admin') Painel Admin @endrole @hasrole('super-admin') Configurações @endhasrole {{-- Verificar múltiplas roles --}} @hasanyrole('admin|manager') Gerenciar Equipe @endhasanyrole {{-- Verificar Permission --}} @can('contracts.create') Novo Contrato @endcan @cannot('contracts.delete') Sem permissão para excluir @endcannot {{-- Verificar Policy --}} @can('update', $contract) Editar @endcan @can('approve', $contract) @endcan {{-- Menu dinâmico baseado em permissões --}} ``` ## API de Gerenciamento ```php get(); return view('admin.roles.index', compact('roles')); } public function store(Request $request) { $request->validate([ 'name' => 'required|unique:roles,name', 'permissions' => 'array', ]); $role = Role::create(['name' => $request->name]); $role->syncPermissions($request->permissions ?? []); return redirect()->route('admin.roles.index') ->with('success', 'Role criada com sucesso!'); } public function update(Request $request, Role $role) { $request->validate([ 'name' => 'required|unique:roles,name,' . $role->id, 'permissions' => 'array', ]); $role->update(['name' => $request->name]); $role->syncPermissions($request->permissions ?? []); return redirect()->route('admin.roles.index') ->with('success', 'Role atualizada!'); } } class UserRoleController extends Controller { public function update(Request $request, User $user) { $request->validate([ 'roles' => 'array', 'roles.*' => 'exists:roles,name', ]); // Sync roles (remove antigas, adiciona novas) $user->syncRoles($request->roles ?? []); return redirect()->back()->with('success', 'Roles atualizadas!'); } public function addPermission(Request $request, User $user) { $request->validate([ 'permission' => 'required|exists:permissions,name', ]); // Permissão direta (além das roles) $user->givePermissionTo($request->permission); return redirect()->back()->with('success', 'Permissão adicionada!'); } } ``` ## Auditoria de Acessos ```php 'boolean', 'metadata' => 'array', ]; public function user() { return $this->belongsTo(User::class); } } // Middleware de auditoria class AuditAccess { public function handle(Request $request, Closure $next) { $response = $next($request); if (auth()->check()) { AccessLog::create([ 'user_id' => auth()->id(), 'action' => $request->method(), 'resource' => $request->path(), 'ip_address' => $request->ip(), 'user_agent' => $request->userAgent(), 'granted' => $response->status() < 400, ]); } return $response; } } ``` ## Hierarquia Militar (SKYNET-COPAC) ```php Oficial > Suboficial > Praça $comandante = Role::create(['name' => 'comandante']); $oficial = Role::create(['name' => 'oficial']); $suboficial = Role::create(['name' => 'suboficial']); $praca = Role::create(['name' => 'praca']); // Comandante: acesso total $comandante->givePermissionTo(Permission::all()); // Oficial: gerencia documentos e pessoal $oficial->givePermissionTo([ 'documents.view', 'documents.create', 'documents.edit', 'documents.approve', 'personnel.view', 'personnel.edit', 'reports.view', 'reports.export', ]); // Suboficial: operações diárias $suboficial->givePermissionTo([ 'documents.view', 'documents.create', 'personnel.view', 'reports.view', ]); // Praça: apenas visualização $praca->givePermissionTo([ 'documents.view', 'personnel.view', ]); } } ``` ## Checklist de Implementação ```markdown ## Autenticação - [ ] Login/Logout funcionando - [ ] Registro (se aplicável) - [ ] Reset de senha - [ ] Email verification (se aplicável) - [ ] Two-factor authentication (se aplicável) ## Autorização - [ ] Roles definidas - [ ] Permissions granulares - [ ] Policies para cada Model - [ ] Gates para ações globais - [ ] Middleware nas rotas - [ ] Verificações no Blade ## Segurança - [ ] CSRF protection - [ ] Rate limiting em login - [ ] Logout em outros dispositivos - [ ] Auditoria de acessos - [ ] Expiração de sessão ```

diagram-generator

Scan your own AI components