fullstack.org.ua

Authorization у Server Actions · fullstack.org.ua

Середній15 хв· Fullstack Team

Authorization у Server Actions

Захистите Server Actions від неавторизованих викликів і перевірятимете права перед зміною даних.

Автентифікація та авторизація

Автентифікація відповідає на запитання: «Хто виконує дію?».

Авторизація відповідає на запитання: «Чи має ця особа право виконувати дію?».

Server Action потрібно захищати на обох рівнях. Перевірка лише в інтерфейсі недостатня, оскільки Server Action можна викликати безпосередньо HTTP-запитом, минаючи форму або кнопку.

tsx

"use server";

export async function deleteProject(projectId: string) {
  // Перевірка користувача
  const session = await getSession();

  if (!session?.user) {
    throw new Error("Потрібна автентифікація");
  }

  // Перевірка права доступу
  const project = await getProject(projectId);

  if (project.ownerId !== session.user.id) {
    throw new Error("Недостатньо прав");
  }

  await removeProject(projectId);
}

tsx

"use server";

import { z } from "zod";
import { auth } from "@/auth";
import { prisma } from "@/lib/prisma";

const renameProjectSchema = z.object({
  projectId: z.string().min(1),
  name: z
    .string()
    .trim()
    .min(3, "Назва має містити щонайменше 3 символи")
    .max(100, "Назва не може містити понад 100 символів"),
});

type RenameProjectResult =
  | { ok: true }
  | { ok: false; error: string };

export async function renameProject(
  formData: FormData,
): Promise<RenameProjectResult> {
  const session = await auth();
  const userId = session?.user?.id;

  if (!userId) {
    return {
      ok: false,
      error: "Увійдіть у свій обліковий запис",
    };
  }

  const parsedData = renameProjectSchema.safeParse({
    projectId: formData.get("projectId"),
    name: formData.get("name"),
  });

  if (!parsedData.success) {
    return {
      ok: false,
      error: parsedData.error.issues[0]?.message ?? "Некоректні дані",
    };
  }

  const { projectId, name } = parsedData.data;

  // Пошук лише серед проєктів поточного користувача
  const project = await prisma.project.findFirst({
    where: {
      id: projectId,
      ownerId: userId,
    },
    select: {
      id: true,
    },
  });

  if (!project) {
    return {
      ok: false,
      error: "Проєкт не знайдено або у вас немає доступу",
    };
  }

  await prisma.project.update({
    where: {
      id: project.id,
    },
    data: {
      name,
    },
  });

  return { ok: true };
}

tsx

"use server";

import { prisma } from "@/lib/prisma";

export async function updateUserRole(
  userId: string,
  role: string,
) {
  await prisma.user.update({
    where: { id: userId },
    data: { role },
  });
}

tsx

"use server";

import { auth } from "@/auth";
import { prisma } from "@/lib/prisma";

const allowedRoles = new Set(["admin", "manager"]);

export async function updateUserRole(
  targetUserId: string,
  role: string,
) {
  const session = await auth();
  const currentUser = session?.user;

  if (!currentUser?.id) {
    throw new Error("Потрібна автентифікація");
  }

  if (!currentUser.role || !allowedRoles.has(currentUser.role)) {
    throw new Error("Недостатньо прав");
  }

  if (!["user", "manager"].includes(role)) {
    throw new Error("Некоректна роль");
  }

  await prisma.user.update({
    where: {
      id: targetUserId,
    },
    data: {
      role,
    },
  });
}

tsx

const project = await prisma.project.findFirst({
  where: {
    id: projectId,
    ownerId: currentUserId,
  },
});

if (!project) {
  throw new Error("Проєкт не знайдено або доступ заборонено");
}

await prisma.project.update({
  where: {
    id: project.id,
  },
  data: {
    name: newName,
  },
});

tsx

"use server";

import { auth } from "@/auth";
import { prisma } from "@/lib/prisma";

export async function deleteProject(projectId: string) {
  const session = await auth();
  const userId = session?.user?.id;

  if (!userId) {
    throw new Error("Потрібна автентифікація");
  }

  const deletedProject = await prisma.project.deleteMany({
    where: {
      id: projectId,
      ownerId: userId,
    },
  });

  if (deletedProject.count === 0) {
    throw new Error("Проєкт не знайдено або доступ заборонено");
  }

  return { ok: true };
}

tsx

"use server";

import { auth } from "@/auth";
import { prisma } from "@/lib/prisma";

export async function approveInvoice(invoiceId: string) {
  const session = await auth();
  const user = session?.user;

  if (!user?.id) {
    throw new Error("Потрібна автентифікація");
  }

  if (user.role !== "admin" && user.role !== "manager") {
    throw new Error("Лише менеджер або адміністратор може погодити рахунок");
  }

  const invoice = await prisma.invoice.findUnique({
    where: {
      id: invoiceId,
    },
    select: {
      id: true,
      status: true,
    },
  });

  if (!invoice) {
    throw new Error("Рахунок не знайдено");
  }

  if (invoice.status !== "pending") {
    throw new Error("Можна погодити лише рахунок зі статусом pending");
  }

  await prisma.invoice.update({
    where: {
      id: invoice.id,
    },
    data: {
      status: "approved",
      approvedById: user.id,
    },
  });

  return { ok: true };
}

tsx

// lib/authorization.ts
import { auth } from "@/auth";

export async function requireUser() {
  const session = await auth();

  if (!session?.user?.id) {
    throw new Error("Потрібна автентифікація");
  }

  return session.user;
}

export async function requireAdmin() {
  const user = await requireUser();

  if (user.role !== "admin") {
    throw new Error("Потрібні права адміністратора");
  }

  return user;
}

tsx

"use server";

import { prisma } from "@/lib/prisma";
import { requireAdmin } from "@/lib/authorization";

export async function blockUser(userId: string) {
  const admin = await requireAdmin();

  await prisma.user.update({
    where: {
      id: userId,
    },
    data: {
      blocked: true,
      blockedById: admin.id,
    },
  });

  return { ok: true };
}

tsx

try {
  await prisma.project.update({
    where: { id: projectId },
    data: { name },
  });
} catch (error) {
  console.error("Помилка оновлення проєкту", error);

  return {
    ok: false,
    error: "Не вдалося оновити проєкт",
  };
}