src/Security/Voter/OrderVoter.php line 10

Open in your IDE?
  1. <?php
  3. namespace App\Security\Voter;
  5. use App\Entity\Order;
  6. use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
  7. use Symfony\Component\Security\Core\Authorization\Voter\Voter;
  8. use Symfony\Component\Security\Core\User\UserInterface;
  10. class OrderVoter extends Voter
  11. {
  12.     public const VIEW = 'ORDER_VIEW';
  13.     public const EDIT = 'ORDER_EDIT';
  16.     /**
  17.      * @inheritDoc
  18.      */
  19.     protected function supports(string $attribute, mixed $subject): bool
  20.     {
  21.         // Only vote on User objects and supported attributes
  22.         return in_array($attribute, [self::VIEW, self::EDIT])
  23.             && $subject instanceof Order;
  24.     }
  26.     /**
  27.      * @inheritDoc
  28.      */
  29.     protected function voteOnAttribute(string $attribute, mixed $subject, TokenInterface $token): bool
  30.     {
  31.         $currentUser = $token->getUser();
  33.         if (!$currentUser instanceof UserInterface) {
  34.             return false; // not logged in
  35.         }
  37.         /** @var Order $order */
  38.         $order = $subject;
  40.         return match ($attribute) {
  41.             self::VIEW => $this->canView($order, $currentUser),
  42.             default => false,
  43.         };
  45.     }
  47.     private function canView(Order $order, UserInterface $currentUser): bool
  48.     {
  49.         // Admins can view everyone
  50.         if (in_array('ROLE_ADMIN', $currentUser->getRoles(), true)) {
  51.             return true;
  52.         }
  53.         if (in_array('ROLE_COMMERCIAL', $currentUser->getRoles(), true)) {
  54.             return true;
  55.         }
  57.         // B2B Admins: can view orders of their own customer
  58.         if (in_array('ROLE_B2B_ADMIN', $currentUser->getRoles(), true)) {
  59.             return $order->getCustomer() === $currentUser->getCustomer();
  60.         }
  62.         // B2B Agents: can only view orders they created themselves
  63.         if (in_array('ROLE_B2B_AGENT', $currentUser->getRoles(), true)) {
  64.             return $order->getUser() === $currentUser;
  65.         }
  67.         return false;
  68.     }
  70. }