[laravel] axiosで安全なuserの取得方法を教えてください！

Question

前提・実現したいこと

vueからaxiosでdataをpost送信して、laravelでそのユーザに作成、編集、削除権限があるかを判断してからdataを処理したい。

具体例としては
シンプルなapiのcrud機能を実装して、laravelのデフォルトの認証機能を実装してあるとして、
普通のformで送られてきたときみたいに$request->user()のようにしてそのユーザを受け取って、そのコンテンツに対して変更する権限があるかを調べる。みたいな感じです。

発生している問題

axiosで送られてきた$requestでは$request->user()でユーザを取得できない。

dataに{id: 1}のようにuserのidを送るようにすると、console上でidの値を書き換えられるだけで他のユーザのコンテンツも変更できてしまう。

試したこと

laravel passportを使ってみた。
動作はしたが、できればユーザ作成と同時にclientを作成したい。
サーバーサイドでclientとtokenを作成しようと思い、
GuzzleHttp Clientを使ってみたら

Failed to connect to hocalhost port 80: Connection refused

とでた。

docker ps

でポートを確認するとどちらも80だった。

解決してほしいこと

vueからaxiosで送られてきたコンテンツのidと変更内容に対して、そのユーザがそのコンテンツに対して変更権限を持っているかの判断がしたい。なので、userのなりすましを防止したい。

安全なuserの取得方法がわかる方がいたら、回答をよろしくお願いします。

Answer 1

GuzzleHttp Clientに関しては利用したことがないため、何もコメントできないんですけど、
私は普段、そういったことを実装しようとするときは、JWTによる認証(jwt-auth)を用いています。

見当違いなことを言っていたら申し訳ないんですが、
ログイン時にJWTをClientに送り、
Clientは送られてきたJWTをCookieかlocal Storageに保存しておいて、
axiosでリクエストする際(必要なメソッドだけ)に、Authorization:BearerヘッダにJWTを付与して認証しています。

Comments

[yakito-morokosi]

回答ありがとうございます！
やってみます！