掲示板の投稿者のみ編集できるようにしたい（Laravel)

Question

掲示板の投稿者のみ編集できるようにしたい（Laravel)

前提・実現したいこと

Laravelを使用して掲示板を作成しています。投稿者のみ投稿内容の編集・更新ができるようにしたいです。ログイン機能の実装は上手く行きましたが、投稿者であるにも関わらず投稿内容の編集が出来ない状態です。

発生している問題・エラーメッセージ

ポリシーを作成・登録し、userのid と　postのuser_idが合致した場合のみ編集・更新できるように記述、コントローラでauthorizeによる認可を追加しました。しかし、投稿者かどうかに関わらず、編集ボタンを押すと403　This action is unauthorized.とブラウザに表示されてしまいます。

該当のソースコード

App/Http/Providers/AuthServiceProvider.php

<?php

namespace App\Providers;

use App\Post;
use App\Policies\PostPolicy;
use App\User;
use App\Policies\UserPolicy;
use Illuminate\Support\Facades\Gate;
use Illuminate\Foundation\Support\Providers\AuthServiceProvider as ServiceProvider;

class AuthServiceProvider extends ServiceProvider
{
    /**
     * The policy mappings for the application.
     *
     * @var array
     */
    protected $policies = [
        'App\Model' => 'App\Policies\ModelPolicy',
         // 'App\Model' => 'App\Policies\ModelPolicy',
         User::class => UserPolicy::class,
         Post::class => PostPolicy::class,
    ];

    /**
     * Register any authentication / authorization services.
     *
     * @return void
     */
    public function boot()
    {
        $this->registerPolicies();
        config(['admin_id' => 1]);
        //
    }
}

App/Http/Policies/PostPolicy.php

<?php

namespace App\Policies;
use App\Post;
use App\User;
use Illuminate\Auth\Access\HandlesAuthorization;

class PostPolicy
{
    use HandlesAuthorization;

    /**
     * Create a new policy instance.
     *
     * @return void
     */
    public function __construct()
    {
        //
    }

    public function edit(User $user, Post $post)
     {
         return $user->id === $post->user_id;
     }

   public function update(User $user, Post $post)
     {
         return $user->id === $post->user_id;
     }



}

App/Http/Policies/UserPolicy.php

<?php

namespace App\Policies;

use App\Post;
use App\User;
use Illuminate\Auth\Access\HandlesAuthorization;

class UserPolicy
{
    use HandlesAuthorization;

    /**
     * Create a new policy instance.
     *
     * @return void
     */
    public function __construct()
    {
        //
    }

    public function edit(User $user, User $model)
   {
       return $user->id == $model->id;
   }

    public function update(User $user, User $model)
     {
         return $user->id == $model->id;
     }
}

App/Http/Controllers/PostsController.php

<?php

namespace App\Http\Controllers;

use Illuminate\Http\Request;
use App\Post;
use App\Http\Controllers\Controller;
class PostsController extends Controller
{
    public function index()
    {
      return view('posts.top');

    }

    public function bbs()
    {
      $posts = Post::with(['comments'])->orderBy('created_at', 'desc')->paginate(10);
      return view('posts.bbs',['posts'=>$posts]);
    }

    public function create()
    {
    return view('posts.create');
    }

    public function store(Request $request)
    {
    $params = $request->validate([
        'title' => 'required|max:50',
        'body' => 'required|max:2000',
    ]);

        auth()->user()->posts()->create($params);
        //Post::create($params);

    return redirect()->route('bbsTop');
    }

    public function show($post_id)
    {
      $post=Post::findOrFail($post_id);

      return view('posts.show',[
        'post'=>$post,
      ]);
    }

    public function edit($post_id)
    {

      $post=Post::findOrFail($post_id);
      $this->authorize('edit', $post);
      return view('posts.edit', [
        'post' => $post,
    ]);
    }

    public function update($post_id,Request $request)
    {
      $params=$request->validate([
    'title'=>'required|max:50',
    'body'=>'required|max:2000',
    ]);
    $post=Post::findOrFail($post_id);
    $this->authorize('update', $post);
    $post->fill($params)->save();
    return redirect()->route('posts.show',['post'=>$post]);
    }

    public function destroy($post_id)
    {
      $post=Post::findOrFail($post_id);

      \DB::transaction(function() use ($post){
    $post->comments()->delete();
    $post->delete();
    });

    return redirect()->route('bbsTop');
    }


    }

database/migrations/posts_table.php

<?php

use Illuminate\Support\Facades\Schema;
use Illuminate\Database\Schema\Blueprint;
use Illuminate\Database\Migrations\Migration;

class CreatePostsTable extends Migration
{
    /**
     * Run the migrations.
     *
     * @return void
     */
    public function up()
    {
        Schema::create('posts', function (Blueprint $table) {
            $table->increments('id');
            $table->unsignedInteger('user_id');
            $table->string('title',50);
            $table->text('body');
            $table->timestamps();

            $table->foreign('user_id')->references('id')->on('users');
        });
    }

    /**
     * Reverse the migrations.
     *
     * @return void
     */
    public function down()
    {
        Schema::dropIfExists('posts');
    }
}

database/migrations/users_table.php

<?php

use Illuminate\Support\Facades\Schema;
use Illuminate\Database\Schema\Blueprint;
use Illuminate\Database\Migrations\Migration;

class CreateUsersTable extends Migration
{
    /**
     * Run the migrations.
     *
     * @return void
     */
    public function up()
    {
        Schema::create('users', function (Blueprint $table) {
            $table->bigIncrements('id');
            $table->string('name');
            $table->string('email')->unique();
            $table->timestamp('email_verified_at')->nullable();
            $table->string('password');
            $table->rememberToken();
            $table->timestamps();
        });
    }

    /**
     * Reverse the migrations.
     *
     * @return void
     */
    public function down()
    {
        Schema::dropIfExists('users');
    }
}

App/Http/Providers/Post.php

<?php

namespace App;

use Illuminate\Database\Eloquent\Model;

class Post extends Model
{
    protected $fillable = [
        'title',
        'body',
    ];

    public function comments()
    {
        return $this->hasMany('App\Comment');
    }

    public function user()
  {
      return $this->belongsTo('App\User');
  }
}

App/Http/Providers/User.php

<?php

namespace App;

use Illuminate\Notifications\Notifiable;
use Illuminate\Contracts\Auth\MustVerifyEmail;
use Illuminate\Foundation\Auth\User as Authenticatable;

class User extends Authenticatable
{
    use Notifiable;

    /**
     * The attributes that are mass assignable.
     *
     * @var array
     */
    protected $fillable = [
        'name', 'email', 'password',
    ];

    /**
     * The attributes that should be hidden for arrays.
     *
     * @var array
     */
    protected $hidden = [
        'password', 'remember_token',
    ];

    /**
     * The attributes that should be cast to native types.
     *
     * @var array
     */
    protected $casts = [
        'email_verified_at' => 'datetime',
    ];

    public function posts()
  {
      return $this->hasMany('App\Post');
  }

  
}

試したこと

参照サイトを参考にポリシーの作成・登録、ルールの記述、コントローラに認可を追加しました。何度やっても上手くいかなかったので、Post.php,User.phpと、テーブルも確認し記述し直しましたが、投稿者IDとユーザーIDを合致させて認可することができませんでした。
参照サイト：https://readouble.com/laravel/5.7/ja/authorization.html#writing-policies
https://qiita.com/sutara79/items/11d8417a6fc91ca1b841
https://tech.windii.jp/backend/laravel/authorization-basic

補足情報（FW/ツールのバージョンなど）

Laravel Framework 5.8.35
DB　SQLite

Answer 1

PostsController の update メソッドの
$this->authorize('update', $post);
は、
$this->authorize('edit', $post);
でも大丈夫です。認可のロジックが同じ為です。

むしろ、'update'は辞めて、'edit'に統一した方が良いと思います。
十中八九、edit と update はロジックが同じになりますので。

それと、同箇所で、
$post->fill($params)->save();
$this->authorize('update', $post);
とありますが、save() した後に、authorize() を呼び出しても遅いので、順番は入れ替えないとまずいと思います。

で、問題の件ですが、正直良く分からないと言えば、良く分からないのですが、store メソッドでの
Post::create($params); で、'user_id' が渡ってないですよね？
post と user が紐付いて無くないですか？
user_id は、nullable でないので、なぜここでエラーにならないのでしょうか？
何か別の方法で紐付けているのでしょうか？

Comments

[GO999]

nshiroさん、丁寧なご回答誠に有難う御座います。
当方初心者である為、書いてある意味の半分くらいしか理解できません。調べます。
$params = $request->validate([
'title' => 'required|max:50',
'body' => 'required|max:2000',
]);
から、$paramsに入っているのは'title'と'body'のみで、'user_id'が渡っていなく、「投稿者が誰か指定されていない状態で投稿されている」と言うことでしょうか。なので、編集しようとしても投稿者と投稿内容のIDを合致させられていないためunauthorizedと表示されると言うことでしょうか？
なぜエラーにならないのかは分かりません。。
自分の中ではPostPolicy.phpで紐付けしている考えでした。勝手ですが、もし打開案があればご教授いただけると本当に助かります。

[nshiro]

あくまで推測の1つですが、そうなります。
ただ、DBに登録されたデータを直接見る事はできませんか？phpMyAdmn などのツールを使って。
登録されているデータを直接見れば、user と post がちゃんと紐付いているかは、すぐに分かるかと思います。

[GO999]

nshiroさん、お忙しいところ、ご回答誠に有難う御座います。
SQLiteManagerを使用すれば見られると複数のサイトにありまして、ダウンロードしましたがXamppでは無い為かうまく行かず。。もう少し勉強してみます。
Post::create($params); でuser_idを渡す良い方法はありますでしょうか？

[nshiro]

SQLite 使っているのですね。
DBの中身を直接見られないと、開発も大変だと思いますので、何かしら利用した方が良いと思います。

Post::create($params);
↓
auth()->user()->posts()->create($params);
で試されてみては如何でしょうか？

それでもダメな場合、PostPolicy で edit メソッド内で、

return $user->id === $post->user_id;
↓
dump($user->id);
dd($post->user_id);
return $user->id === $post->user_id;

としてみて、どのようなデータが渡っているのか、確認してみると良いかと思います。

[GO999]

nshiroさん、毎回丁寧なご回答誠に有難う御座います
①まず

Post::create($params);
↓
auth()->user()->posts()->create($params);

に変えて投稿作成ボタンを押したところ↓

「SQLSTATE[HY000]: General error: 1 table posts has no column named user_id (SQL: insert into "posts" ("title", "body", "user_id", "updated_at", "created_at") values (テスト, we, 46, 2019-12-25 13:32:20, 2019-12-25 13:32:20))」

とエラーが出ました。posts tableにuser_idが無い、と言うことでしょうか？

②次にPostPolicyを

return $user->id === $post->user_id;
↓
dump($user->id);
dd($post->user_id);
return $user->id === $post->user_id;

に変えて編集ボタンを押すと、１行目にユーザーのIDが表示され、２行目はNullと表示されます。

以上のことから分かることは、どう言うわけかPostsテーブルにuser_idが作成されていない状態であり、PostControllerのstoreメソッドでは受け渡すuser_idが存在しない為、正常に作動し、また全てのユーザーの編集を阻んでいる、ということでしょうか？Postsテーブルにはuser_idがファイル上は存在していると考えますが、何か別の方法があるのでしょうか？

お忙しいところ恐れ入りますがよろしくお願い申し上げます。

[nshiro]

database/migrations/posts_table.php
には、$table->unsignedInteger('user_id'); と書かれているのに、
実際は、postsテーブルには、user_id が存在していないようですね。
後からマイグレーションファイルに追加したのでしょうか？

一旦全てのテーブルを削除して、再度テーブルを作り直すので良ければ、
php artisan migrate:fresh
で再度、マイグレーションを行ってみてはいかがでしょうか。

[GO999]

nshiroさん、毎回丁寧なご回答誠に有難う御座います。

はい、おっしゃる通り、後からuser_idを追加いたしました。
migrateしていなかったようです。。
①php artisan migrate:freshを行いマイグレーションし直し、PostControllerのPost::create($params);　を　auth()->user()->posts()->create($params);に変更しました。

②その後、PostPolicyのeditメソッド内で↓

dump($user->id);
dd($post->user_id);
return $user->id === $post->user_id;

と入力し編集ボタンを押すと、１行目にユーザーのIDが　2 と表示され、２行目にはpostのuser_idが　"2"　と表示されます。（user_idにのみ"2"とダブルクォーテーションが付いているのが気になります。。）

③これで行けるかな、と思いdump($user->id);　と　dd($post->user_id);を外して、再度編集ボタンを押すと、This action is unauthorized.と出てしまいます。

うまくuser_idを渡せているようですが、ユーザーのIDと合致していると認可されていない状態と考えます。AuthServiceProviderとPostPolicyとPostControllerで、そこの処理はできていると思っていたのですが、どこか問題があるのでしょうか？
すみませんがよろしくお願いします。

[nshiro]

return $user->id === $post->user_id;
だと型チェックまで行っているので、=== ではなく、== にすれば解決すると思います。
return $user->id == $post->user_id;

$user->id の方は、int型に変換されているのに対し、$post->user_id の方は、文字列のままなのですね…。
（自分の案件で確認する限りは、共に int 型に変換されますが。何故かは分かりません…）

本来なら、より Laravel らしく
return $user->is($post->user);
みたいな書き方もできるのですが、型が一致していない状態だと、うまく行かないと思います。

[GO999]

できました！！！！！
①そもそもuser_idがデータベースに反映されていなかった。
②PostPolicyでuser_idが渡っていなかった。

この２点が今回の主な問題点だと思います。

nshiroさん、ここ数日、僕の相談にお付き合いしていただき有難う御座います。
初めてのポートフォリオで自分ではどうしても解決できず諦めかけていたところ、親切に助けていただいて感謝いたします。

次は、管理者は全ての機能を使えるようにしようと思います。多分、またしくじるので、自分で調べてどうしようも無くなった際はまたよろしくお願いします。。

[nshiro]

無事、解決して良かったです！
Laravelは奥が深くてまだまだ私も学習中ですが、お互い頑張りましょう。

Answer 2

AuthServiceProvider.phpで、Userや、UserPolicy、Post、PostPolicyを使うためにはそれらをあらかじめ呼び出す必要があります。

ということで最初に以下のコードを追加しましょう。
(参考にされたサイトでもよく見ると追加されてあります。)

use App\Post;
use App\Policies\PostPolicy;
use App\User;
use App\Policies\UserPolicy;

あとちなみにpostControllerでupdateのauthorizeが、
$this->authorize('edit', $post);
になってしまっています。多分これはあまり関係ないですが。

自分でもうちょっとデバッグするなら、一回PostPolicyのupdateとかのところで単純にtrueをreturnするようにしてみたり、$user->idをddで出してみたりしてみても良いのかもしれません。

Comments

[GO999]

aolesさん、丁寧なご回答とアドバイスを誠に有難うございます。
おっしゃられたようにAuthServiceProvider.phpに上記のコードを追加し、postControllerの間違いも修正致しましたが、依然として編集出来ない状態でございます。
お忙しいところ申し訳無いですが、もし他に考えうることが御座いましたら、何卒ご教示のほどよろしくお願いいたします。

[aoies]

同様に、PostPolicyでも同様にPostオブジェクトを使っているため、
use App\Post;
を書き加える必要があります。

[GO999]

aolesさん、丁寧なご回答を誠に有難うございます。
PostPolicyにuse App\Post;を追加しましたが変化なく、UserPolicyにも同様に追加してみましたが変化ありませんでした。
何度もすみませんが、他に考えうることが御座いましたら、何卒ご教示のほどよろしくお願いいたします。

[aoies]

これは関係ないかなと思うのですが、一応、ドキュメント通りなら"use App\Http\Controllers\Controller;"もPostControllerに追加しても良いかもしれません。

あとは、PostPolicyに
public function edit(User $user, Post $post)
{
dd($user->id);
return $user->id === $post->user_id;
}
とか書くと、policyまでちゃんと到達できてるかの確認とか、user->idがわたっているのかの確認とかができ、どこに問題があるかはっきりしてくるかと思います。($post->user_idも同様に)

私もそんなに詳しくないので確かなことが言えず申し訳ないのですが。

[GO999]

aolesさん、丁寧なご回答を誠に有難うございます。
public function edit(User $user, Post $post)
{
dd($user->id);
return $user->id === $post->user_id;
}
と書き換えてブラウザを更新するとエラーメッセージが出てしまいます。
これはデータが空っぽということでしょうか？

[aoies]

ddを使った上でchromeの検証→network→赤字のやつ、を見るとあれば$user->idが見れます。
ddは、そこでデータ処理を停止して引数の変数の値を表示するメソッドです。それで$user->id、$post->user_idとしてどんな値がわたっているか確認できます。

[GO999]

aolesさん、丁寧なご回答を誠に有難うございます。
デバックの方法を教えてくれて助かりました。
この方法を使用して打開策が無いかもっと検討してみます。