src/Security/SalarieAccessSubscriber.php line 40

Open in your IDE?
  1. <?php
  3. namespace App\Security;
  5. use App\Entity\Salarie;
  6. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  7. use Symfony\Component\HttpFoundation\RedirectResponse;
  8. use Symfony\Component\HttpKernel\Event\RequestEvent;
  9. use Symfony\Component\HttpKernel\KernelEvents;
  10. use Symfony\Component\Routing\Generator\UrlGeneratorInterface;
  11. use Symfony\Component\Security\Core\Security;
  13. /**
  14.  * Verrouille l'accès aux routes pour un Salarié connecté selon une liste
  15.  * blanche stricte. Le patron (User) n'est jamais concerné par ce filtre.
  16.  *
  17.  * Objectif : garantir qu'aucune interface hors périmètre (Devis, Bon de
  18.  * commande, Bon de livraison, Facture, Entreprise, gestion des salariés...)
  19.  * ne devienne accessible à un salarié, même par oubli dans un contrôleur.
  20.  */
  21. class SalarieAccessSubscriber implements EventSubscriberInterface
  22. {
  23.     private $security;
  24.     private $urlGenerator;
  26.     public function __construct(Security $security, UrlGeneratorInterface $urlGenerator)
  27.     {
  28.         $this->security = $security;
  29.         $this->urlGenerator = $urlGenerator;
  30.     }
  32.     public static function getSubscribedEvents(): array
  33.     {
  34.         return [
  35.             // priorité négative : s'exécute après le RouterListener (route déjà résolue)
  36.             KernelEvents::REQUEST => ['onKernelRequest', -10],
  37.         ];
  38.     }
  40.     public function onKernelRequest(RequestEvent $event): void
  41.     {
  42.         if (!$event->isMainRequest()) {
  43.             return;
  44.         }
  46.         $user = $this->security->getUser();
  47.         if (!$user instanceof Salarie) {
  48.             return;
  49.         }
  51.         $route = $event->getRequest()->attributes->get('_route');
  52.         if (!$route) {
  53.             return;
  54.         }
  56.         // Toujours autorisé : la caisse elle-même et les créations rapides depuis la caisse
  57.         $alwaysAllowed = [
  58.             'app_logout',
  59.             'app_login',
  60.             'app_categorie_new_from_caisse',
  61.             'app_produit_new_from_caisse',
  62.             'client_new_modal',
  63.         ];
  65.         if (in_array($route, $alwaysAllowed, true) || 0 === strpos($route, 'point_vente_')) {
  66.             return;
  67.         }
  69.         if (0 === strpos($route, 'app_produit_')) {
  70.             if ($user->isAccesProduits()) {
  71.                 return;
  72.             }
  73.             $this->deny($event);
  74.             return;
  75.         }
  77.         if (0 === strpos($route, 'reparation_')) {
  78.             if ($user->isAccesReparations()) {
  79.                 return;
  80.             }
  81.             $this->deny($event);
  82.             return;
  83.         }
  85.         if (0 === strpos($route, 'client_')) {
  86.             if ($user->isAccesClients()) {
  87.                 return;
  88.             }
  89.             $this->deny($event);
  90.             return;
  91.         }
  93.         if (0 === strpos($route, 'caisse_rapports_')) {
  94.             if ($user->isAccesRapports()) {
  95.                 return;
  96.             }
  97.             $this->deny($event);
  98.             return;
  99.         }
  101.         if (0 === strpos($route, 'caisse_cloture_')) {
  102.             // L'ouverture d'une session est toujours libre ; seule la fermeture
  103.             // et l'administration des clôtures nécessitent le droit dédié.
  104.             if (in_array($route, ['caisse_cloture_ouvrir'], true)) {
  105.                 return;
  106.             }
  107.             if ($user->isAccesCloture() && in_array($route, ['caisse_cloture_fermer'], true)) {
  108.                 return;
  109.             }
  110.             $this->deny($event);
  111.             return;
  112.         }
  114.         // Tout le reste (Devis, BonCommande, BonLivraison, Facture, Entreprise,
  115.         // Salariés, Dashboard admin...) est refusé par défaut.
  116.         $this->deny($event);
  117.     }
  119.     private function deny(RequestEvent $event): void
  120.     {
  121.         $event->getRequest()->getSession()->getFlashBag()->add('error', 'Accès non autorisé.');
  122.         $event->setResponse(new RedirectResponse($this->urlGenerator->generate('point_vente_index')));
  123.     }
  124. }