라라벨 SPATIE 권한 관리, 사용자별 글 작성·수정·삭제 제어 및 관리자 전체 권한 부여

지금까지 라라벨^Laravel 프로젝트에 SPATIE Laravel Permission도 설치하면서, 역할(Role)과 권한(Permission)을 부여하는 기능까지 구현했다.

하지만 중간에 다른 기능들도 함께 구현하느라 정작 역할과 권한을 부여해서 뭐에 써먹는 건지, 실용적인 기능은 아직 만들지 못했다.

오늘의 포스트에서는 드디어 역할과 권한을 이용해서 실용적인 기능을 하나 구현해 보려고 한다.

먼저 글 작성 권한이 없는 회원은 글을 작성하지 못하게 하는 기능을 구현해 보겠다.

이전 포스트

라라벨 filament, 회원가입 시 자동 역할 부여 및 랜덤 계정 생성 기능 구현

라라벨 회원가입 시 SPATIE 권한 패키지로 기본 역할을 자동 부여하고, filament 관리자 페이지에서 팩토리를 활용해 테스트용 랜덤 계정을 원클릭으로 생성하는 실용적인 기능을 구현합니다. 개발과 테스트 효율을 극대화하는 노하우를 확인해 보세요.

권한이 있는 사용자에게만 글의 작성과 수정・삭제 허용하기 · 4th-avenue/laravel13-livewire@1e6a31f · GitHub

설명 없음

github.com

ArticlePolicy에 admin역할(관리자)에게는 모든 권한을 주는 메서드 추가 · 4th-avenue/laravel13-livewire@12d94bc · GitHub

설명 없음

github.com

전체적인 코드 수정은 이 깃허브 링크들을 통해서 확인할 수 있다.

권한이 있는 사용자에게만 글쓰기 버튼을 표시하고 글을 작성할 수 있게 하기

먼저 이 기능을 구현하기 전에 미리 되어있어야 하는 사전 작업이 있다.

한 사용자에게 banned 역할을 부여해놓아야 한다.

Laravel Seeder 활용법: 초기 역할(Role) 및 관리자 계정 생성 가이드

라라벨 Seeder를 활용해 초기 역할과 관리자 계정을 생성하고 데이터베이스에 자동으로 주입하는 방법을 정리합니다. RoleSeeder 및 UserFactory 수정부터 User 모델 인터페이스 구현까지, 초기 데이터 구축 과정을 깔끔하게 알아봅니다.

2달 전에 작성한 이 포스트에서 'admin', 'moderator', 'user', 'banned' 이렇게 네 가지 역할^Role을 만들었었다.

그리고 user라는 역할^Role에는 글을 작성하고, 수정하고, 삭제할 수 있는 모든 권한을 주고,

banned 역할에는 아무런 권한도 주지 않아야 한다.

app/Policies/ArticlePolicy.php

public function create(User $user): bool
{
    return $user->hasPermissionTo('create article');
}

특정 사용자가 글을 생성할 수 있는 권한이 있는지를 확인하는 create 메서드에 코드를 추가했다.

이 코드는 사용자가 'create article'이라는 특정 권한을 가지고 있는지를 확인한다.

hasPermissionTo() 메서드는 SPATIE Laravel Permission 패키지에서 제공되는 메서드로, 해당 사용자가 특정 권한을 가지고 있는지 확인해서 권한이 있다면 true를 반환하고, 권한이 없다면 false를 반환한다.

즉, 이 create 메서드는 사용자가 'create article'이라는 권한을 가지고 있는 경우에만 글을 생성할 수 있게 한다.

resources/views/pages/articles/⚡new.blade.php

Gate::authorize('create', Article::class);

이 코드를 mount 메서드와 save 메서드에 넣었다.

save 메서드에 이 코드를 넣으면, ArticlePolicy의 create 메서드에 의해 'create article' 권한이 없는 사용자가 글을 작성하고 '저장' 버튼을 클릭하면 403 에러가 뜨면서 글이 저장되지 않는다.

또 mount 메서드에도 넣으면 글쓰기 페이지로 갈 경우에도 403 에러가 떠서 글을 작성하는 페이지로 아예 이동조차 할 수 없다.

라라벨 Livewire 4, 글 삭제 기능 구현 및 Policy 권한 제어

라라벨 Livewire 환경에서 게시글 삭제 기능을 구현하고 Policy 정책을 적용해 타인의 글을 수정하거나 삭제하지 못하도록 보안을 강화했습니다. wire:confirm을 활용한 삭제 재확인 팝업과 작성자 본인에게만 수정・삭제 버튼을 노출하는 팁을 확인하세요.

이 코드는 다른 사용자의 글을 수정이나 삭제할 수 없도록 했을 때 사용했던 코드와 거의 같다.

그런데 다른 점이 딱 하나 있다.

바로, 글 수정과 삭제 때에는 $this->article이 들어갔던 부분에 Article::class가 들어갔다는 것이다.

새로운 글을 작성할 때는 아직 구체적인 Article 인스턴스가 존재하지 않는다.

그래서 Article::class를 전달하여, Article 모델 자체에 대해 권한이 있는지 확인하는 것이다.

글을 수정하거나 삭제할 때는 이미 데이터베이스에 존재하는 특정 Article 인스턴스가 있어야 한다.

그래서 그 경우에는 수정하려는 특정 Article 객체($this->article)를 전달하여, 그 객체에 대한 권한을 확인한다.

즉, 새로운 Article을 작성할 때는 Article 자체에 대한 권한을 검사하고, 수정할 때는 특정 Article 객체에 대한 권한을 검사하는 차이다.

resources/views/pages/articles/⚡list.blade.php

@can('create article')
<div class="flex items-center justify-end mb-3">
    <x-primary-button :href="route('articles.new')" wire:navigate>
        {{ __('Create') }}
    </x-primary-button>
</div>
@endcan

글쓰기 버튼을 @can 디렉티브로 감쌌다.

@can('create article') 블록은 사용자가 create article 권한을 가지고 있는 경우에만 내부의 내용을 렌더링 한다.

따라서 'create article' 권한이 있는 사용자에게만 글쓰기 버튼이 보이게 된다.

banned 역할의 사용자(차단된 사용자)의 계정으로 로그인했다.

그러면 일반적으로는 글쓰기 버튼이 있던 곳에 이렇게 버튼이 사라지게 된다.

권한이 있는 사용자에게만 글 수정과 삭제 허용하기

app/Policies/ArticlePolicy.php

public function update(User $user, Article $article): bool
{
    return $user->id === $article->user_id && $user->hasPermissionTo('update article');
}

public function delete(User $user, Article $article): bool
{
    return $user->id === $article->user_id && $user->hasPermissionTo('delete article');
}

$user->id === $article->user_id는 이전에 추가했던 코드다.

(위에 링크해 놓은 포스트, '라라벨 Livewire 4, 글 삭제 기능 구현 및 Policy 권한 제어'에서 추가했었다.)

거기에 && 연산자를 추가해서 글을 작성한 본인임과 동시에 'update article'과 'delete article' 권한을 가진 사용자만 글을 수정하고 삭제할 수 있도록 수정했다.

관리자에게는 모든 권한 주기 (feat. before 메서드)

app/Policies/ArticlePolicy.php

public function before(User $user, string $ability): bool|null
{
    if ($user->hasRole('admin')) {
        return true;
    }

    return null;
}

원래는 없었던 before라는 메서드를 만들었다.

Policy 클래스 내부에 before 메서드를 정의해 두면, 다른 어떤 권한 메서드(create, update, delete 등)가 실행되기 직전에 무조건 먼저 검사를 수행한다.

이곳에서 이렇게 admin 역할(관리자)에게 true를 반환하도록 만들면, 아래의 update나 delete 개별 로직을 일일이 수정하지 않아도 관리자는 항상 모든 권한을 통과하게 된다.

Authorization | Laravel 13.x - The clean stack for Artisans and agents

Laravel is a framework for building modern web apps and AI agents. Expressive syntax, built-in tools, and everything you need to ship fast.

laravel.com

before 메서드에 대한 Laravel 공식 웹사이트의 설명은 이 링크를 확인하자.

이전의 이전 포스트에서 캡처했던, before 메서드를 만들기 전의 Article 리소스 테이블의 모습이다.

관리자인데도 다른 사용자의 글을 삭제할 수 있는 버튼이 보이지 않는다.

하지만, (클릭)

사실 이 상태에서도 다른 사용자의 글을 삭제할 수는 있다.

삭제할 글의 왼쪽에 있는 체크박스를 체크한 다음에 '선택한 항목 삭제'를 클릭하면 된다.

before 메서드가 생긴 후의 Article 리소스 테이블의 모습이다.

이제는 Article 리소스 테이블에서 모든 글에 '수정'과 '삭제' 등의 버튼이 생겨서 삭제해야 할 글을 빠르게 삭제할 수 있게 됐다.

다음 포스트

라라벨 filament 5, 일괄 삭제 기능 제거 및 데이터 삭제 시 비밀번호 확인 기능 구현

라라벨 filament 관리자 페이지에서 실수로 인한 데이터 손실을 막기 위해 일괄 삭제 기능을 제거하고, 리소스 삭제 시 관리자 비밀번호를 필수로 입력받아 보안을 강화하는 실전 구현 방법을 상세히 알아봅니다.