Проверка прав доступа в контроллерах

1. Права доступа прописываются группе, а не пользователю и хранятся в JSON колонке scope (область действия)
2. Каждый пользователь может принадлежать только к одной группе
3. Права в группе могут быть указаны для конкретного метода. Если users позволяет любые запросы, то users/get только получение данных, без put, patch и delete.

Стандартный метод checkScope

// Метод должен вернуть или ошибку через $this->failure()
// или null, если доступ разрешён
public function checkScope(string $method): ?ResponseInterface
{
    // Если это кросс-доменная проверка возможности запроса через OPTIONS
    // Или scope у контроллера не указан
    // Или работа идёт из консоли сервера
    // Или это вообще проходят тесты
    // То всё в порядке - возвращаем null
    if ($method === 'options' || !$this->scope || (PHP_SAPI === 'cli' && !getenv('PHPUNIT'))) {
        return null;
    }

    // А вот если нет юзера, а наличие scope мы уже проверили в предыдущем блоке
    // То это ошибка доступа
    if (!$this->user) {
        return $this->failure('Authentication required', 401);
    }
    // Дальше соединяем scope с методом запроса
    $scope = $this->scope . '/' . $method;

    // И передаём проверку уже модели пользователя
    return !$this->user->hasScope($scope)
        ? $this->failure('You have no "' . $scope . '" scope for this action', 403)
        : null;
}

public function hasScope($scopes): bool
{
    // Метод может проверять сразу массив scope
    if (!is_array($scopes)) {
        $scopes = [$scopes];
    }
    // Получаем разрешения группы пользователя через связь моделей
    $user = $this->role->scope;

    // Проверяем массив разрешений
    foreach ($scopes as $scope) {
        // Если запрошена проверка конкретного метода в scope
        // Например users/get
        if (strpos($scope, '/') !== false) {
            // То ищем в scope группы или users/get
            // Или целый users
            if (!in_array($scope, $user, true) && !in_array(preg_replace('#/.*#', '', $scope), $user, true)) {
                return false;
            }
        } 
        // Ну или просто проверяем разрешение целиком, без метода запроса
        elseif (!in_array($scope, $user, true)) {
            return false;
        }
    }

    return true;
}

$this->user->hasScope('users');
$this->user->hasScope('users/put');
$this->user->hasScope(['users/get', 'comments/post']);

Загрузка пользователя в контроллер

$app->add(App\Middlewares\Auth::class);
$app->add(new RKA\Middleware\IpAddress());

1. Мы можем удалять токены пользователей, например при блокировке учётной записи
2. Мы можем ограничивать количество одновременных сессий пользователя и делать юзеру кнопочку "завершить все сеансы кроме текущего".

<?php

// Для посредников выделено отдельное пространство имён
namespace App\Middlewares;

use App\Models\User;
use App\Models\UserToken;
use Psr\Http\Message\ResponseInterface;
use Psr\Http\Message\ServerRequestInterface as Request;
use Psr\Http\Server\RequestHandlerInterface as RequestHandler;

// Наш класс расширяет стандартный из vesp-core
class Auth extends \Vesp\Middlewares\Auth
{
    protected $model = User::class;

    // Единственный магический метод вызывается при создании класса в приложении
    public function __invoke(Request $request, RequestHandler $handler): ResponseInterface
    {
        // Если родительский класс получил токен от пользователя
        // То есть, пользователь пытается быть авторизованным
        if ($token = $this->getToken($request)) {
            // Ищем этот токен в нашей базе данных
            $user_token = UserToken::query()
                ->where(['token' => $token->token, 'active' => true])
                ->first();
            // И если нашли такой токен
            if ($user_token) {
                // Проверяем его срок годности
                if ($user_token->valid_till->toDateTimeString() > date('Y-m-d H:i:s')) {
                    // Проверяем статус его пользователя
                    if ($user = $user_token->user()->where('active', true)->first()) {
                        // Если всё в порядке - добавляем к объекту запроса пользователя
                        $request = $request->withAttribute('user', $user);
                        // И сам токен, на всякий случай, чтобы было
                        $request = $request->withAttribute('token', $token->token);
                    }
                }
                // Если токен уже просрочен - отключаем его
                else {
                    $user_token->active = false;
                    $user_token->save();
                }
            }
        }

        // Возвращаем работу основному приложению
        return $handler->handle($request);
    }
}

protected function getToken(ServerRequestInterface $request): ?object
{
    // Заголовок (header) с токеном выглядит как Bearer .....токен
    $pcre = '#Bearer\s+(.*)$#i';
    $token = null;

    // Получаем у запроса заголовок Authorization
    $header = $request->getHeaderLine('Authorization');
    // Получаем query параметры, это которые в url после ?=
    $query = $request->getQueryParams();
    // Если есть заголовок и он выглдят как "Bearer токен"
    if ($header && preg_match($pcre, $header, $matches)) {
        // То считаем его нормальным токеном
        $token = $matches[1];
    }
    // Заголовка нет, проверяем параметры url
    elseif (!empty($query['token'])) {
        // Если там есть "?token=токен", то берём его
        $token = $query['token'];
    } else {
        // Последняя отчаянная попытка - проверяем куки пользователя
        $cookies = $request->getCookieParams();
        // Если там выставлены вот такие
        if (isset($cookies['auth._token.local'])) {
            // Получаем токен из них
            $token = preg_match($pcre, $cookies['auth._token.local'], $matches)
                ? $matches[1]
                : $cookies['auth._token.local'];
        }
    }

    // Если вышло хоть что-то достать одним из способов,
    // то пробуем декодировать токен
    if ($token && $decoded = JWT::decodeToken($token)) {
        $decoded->token = $token;

        return $decoded;
    }

    return null;
}

Заключение