Laravel에서 정책을 통해 권한 부여를 구성하는 방법

Laravel의 정책(policy)은 애플리케이션의 특정 행동에 대한 권한을 제어하는 강력한 도구입니다.

이 정책을 사용하면 사용자에게 주어진 권한을 쉽게 규명하고 관리할 수 있습니다.

Laravel에서 정책을 통해 권한 부여를 구성하는 방법에 대해 알아보겠습니다.

정책 생성하기

먼저, 정책을 생성해야 합니다.

Laravel의 Artisan 명령어를 사용하여 새로운 정책을 만들 수 있습니다.

php artisan make:policy PostPolicy

이렇게 하면 app/Policies 디렉토리에 PostPolicy.php 파일이 생성됩니다.

정책에 메서드 추가하기

정책 클래스 내부에 다양한 메서드를 정의하여 사용자의 권한을 검사할 수 있습니다.

다음은 PostPolicy의 기본 구조와 메서드의 예입니다.

namespace App\Policies;

use App\Models\User;
use App\Models\Post;

class PostPolicy
{
    public function viewAny(User $user)
    {
        return $user->hasRole('admin');
    }

    public function view(User $user, Post $post)
    {
        return $user->id === $post->user_id;
    }

    public function create(User $user)
    {
        return $user->hasPermission('create-post');
    }

    public function update(User $user, Post $post)
    {
        return $user->id === $post->user_id;
    }

    public function delete(User $user, Post $post)
    {
        return $user->id === $post->user_id || $user->hasRole('admin');
    }
}

이 메서드는 각각 게시물을 조회, 생성, 수정, 삭제할 수 있는 권한을 체크합니다.

조건에 따라 true 또는 false를 반환하여 권한을 부여하거나 거부합니다.

정책 등록하기

정책을 생성한 후, 이를 Laravel의 인증 시스템에 등록해야 합니다.

AuthServiceProvider 파일을 열고 다음과 같이 정책을 등록합니다.

protected $policies = [
    Post::class => PostPolicy::class,
];

이제 Post 모델에 대한 모든 권한 검사는 PostPolicy를 통해 수행됩니다.

권한 검사하기

정책을 설정한 후, 실제로 권한을 검사하는 방법은 Gate 또는 can 메소드를 직접 사용할 수 있습니다.

예를 들어, 블레이드 템플릿에서 특정 행동이 허용되는지 확인하고자 할 때 다음과 같이 사용할 수 있습니다.

@can('create', App\Models\Post::class)
    게시물 만들기
@endcan

컨트롤러에서 정책 사용하기

컨트롤러에서 정책을 사용하여 권한을 검사할 수 있습니다.

예를 들어, 게시물 업데이트와 같은 작업을 할 때 다음과 같이 사용할 수 있습니다.

public function update(Request $request, Post $post)
{
    $this->authorize('update', $post);
    // 게시물 업데이트 로직...
}

이 방식으로 사용자는 권한이 없는 경우에 오류 메시지를 자동으로 받을 수 있습니다.

글을 마치며

Laravel에서 정책을 통해 권한 부여를 구성하는 것은 애플리케이션의 보안을 강화하는 중요한 방법입니다.

정책을 적절히 활용하면 사용자 권한을 더욱 명확하게 정의하고 관리할 수 있습니다.

이를 통해 객체 지향적인 접근 방식으로 코드의 가독성과 유지보수성을 높일 수 있습니다.

Laravel의 정책 시스템을 이해하고 활용하면 복잡한 애플리케이션에서도 권한 관리를 보다 쉽게 수행할 수 있습니다.