# 用于與權限 后端的用戶管理包括角色，組，權限，密碼重置和登錄限制等功能。插件還可以注冊權限，以控制對后端功能的訪問。 ### [](https://octobercms.com/docs/backend/users#users-and-permissions)用戶和權限 對OctoberCMS實例的所有部分的訪問由權限系統控制。在最低級別上，有超級用戶（`is_superuser`標記設置為true的用戶），管理員（用戶）和權限。這些`\Backend\Models\User`模型是包含有關用戶的所有重要信息的容器。 超級用戶可以訪問系統中的所有內容，并且只能由他們自己或其他超級用戶來管理；即使管理員擁有`backend.manage_users`權限，常規管理員也無法看到或編輯它們。 權限是形式為字符串的密鑰，`author.plugin.permission_name`通過直接在用戶的“編輯管理員”頁面上分配或通過用戶角色的繼承來授予用戶。 在檢查用戶是否具有特定權限時，該用戶角色的權限設置將被繼承，然后被直接應用于該用戶的任何權限覆蓋。例如，如果用戶**Bob**擁有角色**Genius**，而角色**Genius**擁有`eat_cake`權限，但是**Bob**的`eat_cake`權限被專門設置為拒絕，則**Bob**不會進入`eat_cake`。但是，如果**Bob**擁有`eat_vegetables`直接分配給他的權限，而**Genius**角色則沒有，則**Bob**仍然擁有權限`eat_vegetables`。 角色（`\Backend\Models\UserRole`）是權限的分組，名稱和描述用于標識角色。管理員一次只能分配一個角色。一個角色可以分配給多個管理員。十月默認提供兩個系統角色，`developer`和`publisher`。可以創建具有其自己的權限組合的任意數量的自定義角色，并將其應用于用戶。 > **注意：**擁有`manage_users`權限的任何用戶都可以管理角色的分配，但只能管理其他用戶（而不是自己）的角色，并且角色只能由超級用戶創建或修改。 > > **注意：**系統角色（`developer`，`publisher`和任何`is_system`設置為的角色`true`）不能通過后端更改其權限。假定它們具有對所有權限的訪問權限，除非給定的權限`roles`在權限的定義中使用數組鍵指定了一個或多個特定的角色（在這種情況下，只有指定的系統角色才可以訪問）。 組（`\Backend\Models\UserGroup`）是用于對管理員進行分組的組織工具，可以將它們視為“用戶類別”。它們與權限無關，并且僅用于組織目的。例如，如果您想向該組中的所有用戶發送電子郵件，則`Head Office Staff`只需執行`Mail::sendTo(UserGroup::where('code', 'head-office-staff')->get()->users, 'author.plugin::mail.important_notification', $data);` ### [](https://octobercms.com/docs/backend/users#backend-auth-facade)后端用戶助手 全局`BackendAuth`外觀可以用于管理主要繼承`October\Rain\Auth\Manager`該類的管理用戶。若要注冊新的管理員用戶帳戶，請使用`BackendAuth::register`方法。 ~~~ $user = BackendAuth::register([ 'first_name' => 'Some', 'last_name' => 'User', 'login' => 'someuser', 'email' => 'some@website.tld', 'password' => 'changeme', 'password_confirmation' => 'changeme' ]); ~~~ 該`BackendAuth::check`方法是檢查用戶是否已登錄的快速方法。要返回已登錄的用戶模型，請`BackendAuth::getUser`改用。此外，活動用戶將可以`$this->user`在任何[后端控制器中使用](https://octobercms.com/docs/backend/controllers-ajax)。 ~~~ // Returns true if signed in. $loggedIn = BackendAuth::check(); // Returns the signed in user $user = BackendAuth::getUser(); // Returns the signed in user from a controller $user = $this->user; ~~~ 您可以使用`BackendAuth::findUserByLogin`方法通過用戶的登錄名查找用戶。 ~~~ $user = BackendAuth::findUserByLogin('someuser'); ~~~ 您可以通過提供登錄名和密碼來驗證用戶身份`BackendAuth::authenticate`。您還可以通過將`Backend\Models\User`模型與一起傳遞，從而簡單地認證為用戶`BackendAuth::login`。 ~~~ // Authenticate user by credentials $user = BackendAuth::authenticate([ 'login' => post('login'), 'password' => post('password') ]); // Sign in as a specific user BackendAuth::login($user); ~~~ ### [](https://octobercms.com/docs/backend/users#permission-registration)注冊權限 插件可以通過覆蓋[Plugin注冊類中](https://octobercms.com/docs/plugin/registration#registration-file)的`registerPermissions`方法來注冊后端用戶權限。權限定義為一個數組，其中的鍵對應于權限鍵，值對應于權限描述。權限密鑰由作者名稱，插件名稱和功能名稱組成。這是示例代碼：[](https://octobercms.com/docs/plugin/registration#registration-file) ~~~ acme.blog.access_categories ~~~ 下一個示例顯示如何注冊后端許可項。使用權限密鑰和說明定義權限。在后端權限管理中，用戶界面權限顯示為復選框列表。后端控制器可以使用插件定義的權限來限制用戶對[頁面](https://octobercms.com/docs/backend/users#page-access)或[功能的](https://octobercms.com/docs/backend/users#features)訪問。 ~~~ public function registerPermissions() { return [ 'acme.blog.access_posts' => [ 'label' => 'Manage the blog posts', 'tab' => 'Blog', 'order' => 200, ], // ... ]; } ~~~ 您也可以將`roles`選項指定為數組，每個值作為角色API代碼。使用此代碼創建角色后，它將成為系統角色，該角色始終向具有該角色的用戶授予此權限。 ~~~ public function registerPermissions() { return [ 'acme.blog.access_categories' => [ 'label' => 'Manage the blog categories', 'tab' => 'Blog', 'order' => 200, 'roles' => ['developer'] ] // ... ]; } ~~~ ### [](https://octobercms.com/docs/backend/users#page-access)限制訪問后端頁面 在后端控制器類中，您可以指定訪問控制器提供的頁面所需的權限。這是通過`$requiredPermissions`控制器的屬性完成的。此屬性應包含一個權限密鑰數組。如果用戶權限與列表中的任何權限匹配，則框架將允許用戶查看控制器頁面。 ~~~ <?php namespace Acme\Blog\Controllers; use Backend\Classes\BackendController; class Posts extends BackendController { public $requiredPermissions = ['acme.blog.access_posts']; } ~~~ 您還可以使用**星號**符號表示“所有權限”條件。在下一個示例中，所有具有“ acme.blog”權限的用戶都可以訪問控制器頁面。串： ~~~ public $requiredPermissions = ['acme.blog.*']; ~~~ ### [](https://octobercms.com/docs/backend/users#features)限制對功能的訪問 后端用戶模型具有允許確定用戶是否具有特定權限的方法。您可以使用此功能來限制后端用戶界面的功能。后端用戶支持的許可方法為`hasAccess`和`hasPermission`。這兩種方法都帶有兩個參數：權限密鑰字符串（或密鑰字符串數組）和一個可選參數，指示第一個參數列出的所有權限都是必需的。 如果用戶是超級用戶（設置為），則該`hasAccess`方法針對任何權限返回**true**。該方法更加嚴格，僅當用戶實際上在其帳戶或角色中具有指定的權限時才返回true。通常，是首選的方法，因為它會考慮超級用戶的絕對能力。以下示例顯示如何使用控制器代碼中的方法：`is_superuser``true``hasPermission``hasAccess` ~~~ if ($this->user->hasAccess('acme.blog.*')) { // ... } if ($this->user->hasPermission([ 'acme.blog.access_posts', 'acme.blog.access_categories' ])) { // ... } ~~~ 您也可以使用后端視圖中的方法隱藏用戶界面元素。下一個示例演示如何隱藏“編輯類別”[后端表單](https://octobercms.com/docs/backend/forms)上的按鈕： ~~~ <?php if ($this->user->hasAccess('acme.blog.delete_categories')): ?> <button type="button" class="oc-icon-trash-o btn-icon danger pull-right" data-request="onDelete" data-load-indicator="Deleting Category..." data-request-confirm="Do you really want to delete this category?"> </button> <?php endif ?> ~~~