Drupalのエンティティ（Entity）の権限管理設定は「access callback」を定義したほうが安全

hook_menu()でページアクセス権限設定（"access callback"）がない場合に「"access callback" => "user_access"」を自動に追加

• hook_menu()がよく使用されると思います
• URLへのアクセス権限管理例：Drupalのhook_menuでのユーザーロール別アクセス権限管理
• もし、アクセス権限管理設定の”access callback”がなければ、menuシステムが実行時に「"access callback" => "user_access"」を自動的に追加します（この場合に”access arguments”が必要）
  

hook_entity_info()を実装してエンティティ（Entity）へのアクセス管理はメニューシステムと同じ「"access callback"、"access arguments"」で行います

• hook_entity_info()を実装して、エンティティ（Entity）へのアクセス管理はhook_menu()と同じように定義します

  /**
   * Implements hook_entity_info().
   */
  function drills_ch_vocabulary_entity_info()
  {
      return array(
          'my_vocabulary' => array(
              'label' => t('My Vocabulary'),
              'entity class' => 'MyVocabularyEntity',
              'controller class' => 'MyVocabulryController',
              'base table' => 'my_vocabulary',
              'fieldable' => TRUE,
              'entity keys' => array(
                  'id' => 'entity_id',
                  'label' => 'vocabulary',
              ),
              'bundles' => array(
                  'my_vocabulary' => array(
                      'label'=>'My Vocabulary',
                      'admin' => array(
                          'path' => 'admin/structure/my-vocabulary/manage',
                          'access arguments' => array('administer my vocabulary'),
                          'controller class' => 'EntityDefaultUIController',
                      ),
                  ),
              ),
              'view modes' => array(
                  'full' => array(
                      'label' => t('Default'),
                      'custom settings' => FALSE,
                  ),
              ),
              'module' => 'my_vocabulary',
              'access callback' => 'my_vocabulary_access',
          ),
      );
  }

エンティティ（Entity）へのアクセス権限チェックentity_access()関数が利用された場合は"access callback"の定義が必要です

• EntityAPIの関数：entity_access()でユーザーのアクセス権限チェックに使用しているところが多いと思います
• 実際に関数entity_access()のロジックは"access callback"設定のみしかチェックしていないです

  // entity/entity.module の659行あたり
  function entity_access($op, $entity_type, $entity = NULL, $account = NULL) {
    if (($info = entity_get_info()) && isset($info[$entity_type]['access callback'])) {
      return $info[$entity_type]['access callback']($op, $entity, $account, $entity_type);
    }
  }
  

• hook_entity_info()で"access callback"が定義されていなければ、ここでのチェックが行わないことになります
• 実際にモジュール（Views Bulk Operation）がエンティティのアクセス権限をチェックする際にentith_access()を使用しています
  • 自分が"access callback"をhook_entity_info()に定義していなくて、VBOの一括処理のチェックボックスが表示されなかったです（アクセス権限チェックが通れかなったせい）
    

Drupalのhook_menu()がカスタムページ作成時によく使用されます

• Drupalのサイトにページを追加する手段はいろいろあります
• モジュールでページを追加し、メニューをGUIで設定することができます
  • モジュール（Views）で検索結果をページとして表示することができます（主に表示系のページ、入力フォームはなし）
  • モジュール（Panels）で各種要素を集めてページを作成します（主に表示系のページ、入力フォームなし）
  • モジュール（Web Form）でコンタクト/アンケートなどのフォームページを作成（フォーム系、入力して、データをサーバーに送信して保存）
• プログラミングでページを作成する場合にhook_menu()を実装する必要があります
  • hook_menu()を実装時に、いろいろなパラメーター設定が紛らわしくて、注意する必要があります
  • Drupalのhook_menuでのURL設定にワイドカードの利用
  • Drupalのhook_menuでのユーザーロール別アクセス権限管理
  • 今回は、「page callback」パラメーターを詳細を説明します

Drupalのhook_menu()のパラメーター「page callback」が直接にページの呼び出しと「drupal_get_form」を介してページを呼び出す

• ここは、ajaxで動作するチェックボックスを例として上げます
  • チェックボックスをクリックすると、ajaxでサーバーと交信する

    function ajax_add_to_my_vocabulary($form,&$form_state, $entity){
    
        global $user ;
    
        //  データがすでに存在するか否かのチェック
        $my_voca_result = db_query("SELECT entity_id FROM my_ch_vocabulary WHERE vid=".$entity->vid . " AND uid=".$user->uid)->fetchAll();
        //   ajaxコールバック時に使用するパラメーター
        $form_state['has_my_voca_result'] = count($my_voca_result)>0 ? true:false ;
        $form_state['ch_vocabulary'] = $entity ;  
    
        //　ajaxのチェックボックスフォーム定義
        $form['ch_voca_form']=array(
            '#type' => 'checkbox',
            '#disabled' => $user->uid == 0 ? true : false ,
            '#title' => count($my_voca_result)>0 ? t('<span id="ch-voca-check-op-'.$vid.'">Remove</span>') : t('<span id="ch-voca-check-op-'.$entity->vid.'">Add</span>'),
            '#default_value' => count($my_voca_result)>0 ? 1 : 0,
            '#ajax' => array(
                'callback' => 'add_to_my_vocabulary_callback',
                'wrapper' => 'ch-voca-check-op-'.$entity->vid,
                'method' => 'replace',
                'effect' => 'fade',
            ),
        );
        return $form ;
    }
    
    // ajaxのコールバック関数
    function add_to_my_vocabulary_in_views($form, $form_state){
    
        global $user;
    
        $entity = $form_state['ch_vocabulary'] ;
    
        // DBにデータがある場合に削除処理
        if( $form_state['has_my_voca_result'] ) {
            db_delete( 'my_ch_vocabulary' )->condition( 'vid', $entity->vid )->condition('uid', $user->uid )->execute();
            //  チェックボックスのラベルを「Add」に変更
            return t('<span id="ch-voca-check-op-'.$vid.'">Add</span>');
        }
    
        //　データがなければ、ch_vocabuaryをmy_vocabuaryにコピー
        $my_voca = entity_create('my_ch_vocabulary', array('vid'=>$entity->vid));
        $my_voca_wrapper = entity_metadata_wrapper( 'my_ch_vocabulary', $my_voca );
        $my_voca_wrapper->vocabulary->set( $ch_voca->vocabulary ) ;
        ....   //各種フィールド、プロパティのセット
        $my_voca_wrapper->save();   //　コピーされたデータの保存
    
        //  チェックボックスのラベルを「Remove」に変更
        return  t('<span id="ch-voca-check-op-'.$vid.'">Remove</span>');
    }

• hook_menu()が直接にajaxのチェックボックスフォームを呼び出す場合、ajaxの動作しません

  YOUR_MODULE_NAME_menu(){
    $items['your/path/%entity'] = array(
          'title' => 'Copy and Remove',
          'page callback' => 'ajax_add_to_my_vocabulary',
          'page arguments' => array(array(), array(), 2) ,
          'access arguments' => array('create my vocabulary'),
    );
  }

  • ajaxのチェックボックスフォーム「ajax_add_to_my_vocabulary」が表示されますが、<form>要素がなくて、ajaxの動作はしません
    
• hook_menu()が"drupal_get_form"を介してにajaxのチェックボックスフォームを呼び出す場合、ajaxの動作は正常です

  YOUR_MODULE_NAME_menu(){
   　$items['your/path/%entity'] = array(
  　　　'title' => 'Copy and Remove', 
  　　　'page callback' => 'drupal_get_form', 
  　　　'page arguments' => array('ajax_add_to_my_vocabulary', 2) , 
  　　　'access arguments' => array('create my vocabulary'), 
  　　); 
  }

  • 作成されたフォームに"<form>"要素およびajaxの要素が含まれているのでajaxが正常に動作します
    

結論：表示系ページは直接に呼び出し、入力フォーム系は"drupal_get_form"を介して呼び出す

• hook_menu()を実装時に、呼び出すページの性質によりページの呼び出す方法を決めます
  • 表示系ページ（データ更新なし）の場合は直接に呼び出せばよいです
  • 入力フォーム系のページは"drupal_get_form"を介して呼び出します
• 表示系か、フォーム系かを区別せず、いつも"drupal_get_form"を介して呼び出しても構わないです
• "drupal_get_form"がフォーム構築のプロセスが含まているので、フォームの要素構築するには必要です
  • drupa_get_form, drupal_prepare_form, drupal_retrieve_formの違い
  • これを使用する場合少し（どのぐらいは測定していないが）遅いかもしれないです

hook_menu()でページアクセス権限設定（"access callback"）がない場合に「"access callback" => "user_access"」を自動に追加

• hook_menu()がよく使用されると思います
• URLへのアクセス権限管理例：Drupalのhook_menuでのユーザーロール別アクセス権限管理
• もし、アクセス権限管理設定の”access callback”がなければ、menuシステムが実行時に「"access callback" => "user_access"」を自動的に追加します（この場合に”access arguments”が必要）
  

hook_entity_info()を実装してエンティティ（Entity）へのアクセス管理はメニューシステムと同じ「"access callback"、"access arguments"」で行います

• hook_entity_info()を実装して、エンティティ（Entity）へのアクセス管理はhook_menu()と同じように定義します

  /**
   * Implements hook_entity_info().
   */
  function drills_ch_vocabulary_entity_info()
  {
      return array(
          'my_vocabulary' => array(
              'label' => t('My Vocabulary'),
              'entity class' => 'MyVocabularyEntity',
              'controller class' => 'MyVocabulryController',
              'base table' => 'my_vocabulary',
              'fieldable' => TRUE,
              'entity keys' => array(
                  'id' => 'entity_id',
                  'label' => 'vocabulary',
              ),
              'bundles' => array(
                  'my_vocabulary' => array(
                      'label'=>'My Vocabulary',
                      'admin' => array(
                          'path' => 'admin/structure/my-vocabulary/manage',
                          'access arguments' => array('administer my vocabulary'),
                          'controller class' => 'EntityDefaultUIController',
                      ),
                  ),
              ),
              'view modes' => array(
                  'full' => array(
                      'label' => t('Default'),
                      'custom settings' => FALSE,
                  ),
              ),
              'module' => 'my_vocabulary',
              'access callback' => 'my_vocabulary_access',
          ),
      );
  }

エンティティ（Entity）へのアクセス権限チェックentity_access()関数が利用された場合は"access callback"の定義が必要です

• EntityAPIの関数：entity_access()でユーザーのアクセス権限チェックに使用しているところが多いと思います
• 実際に関数entity_access()のロジックは"access callback"設定のみしかチェックしていないです

  // entity/entity.module の659行あたり
  function entity_access($op, $entity_type, $entity = NULL, $account = NULL) {
    if (($info = entity_get_info()) && isset($info[$entity_type]['access callback'])) {
      return $info[$entity_type]['access callback']($op, $entity, $account, $entity_type);
    }
  }
  

• hook_entity_info()で"access callback"が定義されていなければ、ここでのチェックが行わないことになります
• 実際にモジュール（Views Bulk Operation）がエンティティのアクセス権限をチェックする際にentith_access()を使用しています
  • 自分が"access callback"をhook_entity_info()に定義していなくて、VBOの一括処理のチェックボックスが表示されなかったです（アクセス権限チェックが通れかなったせい）
    

hook_menu()でページアクセス権限設定（"access callback"）がない場合に「"access callback" => "user_access"」を自動に追加

• hook_menu()がよく使用されると思います
• URLへのアクセス権限管理例：Drupalのhook_menuでのユーザーロール別アクセス権限管理
• もし、アクセス権限管理設定の”access callback”がなければ、menuシステムが実行時に「"access callback" => "user_access"」を自動的に追加します（この場合に”access arguments”が必要）
  

hook_entity_info()を実装してエンティティ（Entity）へのアクセス管理はメニューシステムと同じ「"access callback"、"access arguments"」で行います

• hook_entity_info()を実装して、エンティティ（Entity）へのアクセス管理はhook_menu()と同じように定義します

  /**
   * Implements hook_entity_info().
   */
  function drills_ch_vocabulary_entity_info()
  {
      return array(
          'my_vocabulary' => array(
              'label' => t('My Vocabulary'),
              'entity class' => 'MyVocabularyEntity',
              'controller class' => 'MyVocabulryController',
              'base table' => 'my_vocabulary',
              'fieldable' => TRUE,
              'entity keys' => array(
                  'id' => 'entity_id',
                  'label' => 'vocabulary',
              ),
              'bundles' => array(
                  'my_vocabulary' => array(
                      'label'=>'My Vocabulary',
                      'admin' => array(
                          'path' => 'admin/structure/my-vocabulary/manage',
                          'access arguments' => array('administer my vocabulary'),
                          'controller class' => 'EntityDefaultUIController',
                      ),
                  ),
              ),
              'view modes' => array(
                  'full' => array(
                      'label' => t('Default'),
                      'custom settings' => FALSE,
                  ),
              ),
              'module' => 'my_vocabulary',
              'access callback' => 'my_vocabulary_access',
          ),
      );
  }

エンティティ（Entity）へのアクセス権限チェックentity_access()関数が利用された場合は"access callback"の定義が必要です

• EntityAPIの関数：entity_access()でユーザーのアクセス権限チェックに使用しているところが多いと思います
• 実際に関数entity_access()のロジックは"access callback"設定のみしかチェックしていないです

  // entity/entity.module の659行あたり
  function entity_access($op, $entity_type, $entity = NULL, $account = NULL) {
    if (($info = entity_get_info()) && isset($info[$entity_type]['access callback'])) {
      return $info[$entity_type]['access callback']($op, $entity, $account, $entity_type);
    }
  }
  

• hook_entity_info()で"access callback"が定義されていなければ、ここでのチェックが行わないことになります
• 実際にモジュール（Views Bulk Operation）がエンティティのアクセス権限をチェックする際にentith_access()を使用しています
  • 自分が"access callback"をhook_entity_info()に定義していなくて、VBOの一括処理のチェックボックスが表示されなかったです（アクセス権限チェックが通れかなったせい）
    

Drupalのhook_menu()がカスタムページ作成時によく使用されます

• Drupalのサイトにページを追加する手段はいろいろあります
• モジュールでページを追加し、メニューをGUIで設定することができます
  • モジュール（Views）で検索結果をページとして表示することができます（主に表示系のページ、入力フォームはなし）
  • モジュール（Panels）で各種要素を集めてページを作成します（主に表示系のページ、入力フォームなし）
  • モジュール（Web Form）でコンタクト/アンケートなどのフォームページを作成（フォーム系、入力して、データをサーバーに送信して保存）
• プログラミングでページを作成する場合にhook_menu()を実装する必要があります
  • hook_menu()を実装時に、いろいろなパラメーター設定が紛らわしくて、注意する必要があります
  • Drupalのhook_menuでのURL設定にワイドカードの利用
  • Drupalのhook_menuでのユーザーロール別アクセス権限管理
  • 今回は、「page callback」パラメーターを詳細を説明します

Drupalのhook_menu()のパラメーター「page callback」が直接にページの呼び出しと「drupal_get_form」を介してページを呼び出す

• ここは、ajaxで動作するチェックボックスを例として上げます
  • チェックボックスをクリックすると、ajaxでサーバーと交信する

    function ajax_add_to_my_vocabulary($form,&$form_state, $entity){
    
        global $user ;
    
        //  データがすでに存在するか否かのチェック
        $my_voca_result = db_query("SELECT entity_id FROM my_ch_vocabulary WHERE vid=".$entity->vid . " AND uid=".$user->uid)->fetchAll();
        //   ajaxコールバック時に使用するパラメーター
        $form_state['has_my_voca_result'] = count($my_voca_result)>0 ? true:false ;
        $form_state['ch_vocabulary'] = $entity ;  
    
        //　ajaxのチェックボックスフォーム定義
        $form['ch_voca_form']=array(
            '#type' => 'checkbox',
            '#disabled' => $user->uid == 0 ? true : false ,
            '#title' => count($my_voca_result)>0 ? t('<span id="ch-voca-check-op-'.$vid.'">Remove</span>') : t('<span id="ch-voca-check-op-'.$entity->vid.'">Add</span>'),
            '#default_value' => count($my_voca_result)>0 ? 1 : 0,
            '#ajax' => array(
                'callback' => 'add_to_my_vocabulary_callback',
                'wrapper' => 'ch-voca-check-op-'.$entity->vid,
                'method' => 'replace',
                'effect' => 'fade',
            ),
        );
        return $form ;
    }
    
    // ajaxのコールバック関数
    function add_to_my_vocabulary_in_views($form, $form_state){
    
        global $user;
    
        $entity = $form_state['ch_vocabulary'] ;
    
        // DBにデータがある場合に削除処理
        if( $form_state['has_my_voca_result'] ) {
            db_delete( 'my_ch_vocabulary' )->condition( 'vid', $entity->vid )->condition('uid', $user->uid )->execute();
            //  チェックボックスのラベルを「Add」に変更
            return t('<span id="ch-voca-check-op-'.$vid.'">Add</span>');
        }
    
        //　データがなければ、ch_vocabuaryをmy_vocabuaryにコピー
        $my_voca = entity_create('my_ch_vocabulary', array('vid'=>$entity->vid));
        $my_voca_wrapper = entity_metadata_wrapper( 'my_ch_vocabulary', $my_voca );
        $my_voca_wrapper->vocabulary->set( $ch_voca->vocabulary ) ;
        ....   //各種フィールド、プロパティのセット
        $my_voca_wrapper->save();   //　コピーされたデータの保存
    
        //  チェックボックスのラベルを「Remove」に変更
        return  t('<span id="ch-voca-check-op-'.$vid.'">Remove</span>');
    }

• hook_menu()が直接にajaxのチェックボックスフォームを呼び出す場合、ajaxの動作しません

  YOUR_MODULE_NAME_menu(){
    $items['your/path/%entity'] = array(
          'title' => 'Copy and Remove',
          'page callback' => 'ajax_add_to_my_vocabulary',
          'page arguments' => array(array(), array(), 2) ,
          'access arguments' => array('create my vocabulary'),
    );
  }

  • ajaxのチェックボックスフォーム「ajax_add_to_my_vocabulary」が表示されますが、<form>要素がなくて、ajaxの動作はしません
    
• hook_menu()が"drupal_get_form"を介してにajaxのチェックボックスフォームを呼び出す場合、ajaxの動作は正常です

  YOUR_MODULE_NAME_menu(){
   　$items['your/path/%entity'] = array(
  　　　'title' => 'Copy and Remove', 
  　　　'page callback' => 'drupal_get_form', 
  　　　'page arguments' => array('ajax_add_to_my_vocabulary', 2) , 
  　　　'access arguments' => array('create my vocabulary'), 
  　　); 
  }

  • 作成されたフォームに"<form>"要素およびajaxの要素が含まれているのでajaxが正常に動作します
    

結論：表示系ページは直接に呼び出し、入力フォーム系は"drupal_get_form"を介して呼び出す

• hook_menu()を実装時に、呼び出すページの性質によりページの呼び出す方法を決めます
  • 表示系ページ（データ更新なし）の場合は直接に呼び出せばよいです
  • 入力フォーム系のページは"drupal_get_form"を介して呼び出します
• 表示系か、フォーム系かを区別せず、いつも"drupal_get_form"を介して呼び出しても構わないです
• "drupal_get_form"がフォーム構築のプロセスが含まているので、フォームの要素構築するには必要です
  • drupa_get_form, drupal_prepare_form, drupal_retrieve_formの違い
  • これを使用する場合少し（どのぐらいは測定していないが）遅いかもしれないです

hook_menu()でページアクセス権限設定（"access callback"）がない場合に「"access callback" => "user_access"」を自動に追加

• hook_menu()がよく使用されると思います
• URLへのアクセス権限管理例：Drupalのhook_menuでのユーザーロール別アクセス権限管理
• もし、アクセス権限管理設定の”access callback”がなければ、menuシステムが実行時に「"access callback" => "user_access"」を自動的に追加します（この場合に”access arguments”が必要）
  

hook_entity_info()を実装してエンティティ（Entity）へのアクセス管理はメニューシステムと同じ「"access callback"、"access arguments"」で行います

• hook_entity_info()を実装して、エンティティ（Entity）へのアクセス管理はhook_menu()と同じように定義します

  /**
   * Implements hook_entity_info().
   */
  function drills_ch_vocabulary_entity_info()
  {
      return array(
          'my_vocabulary' => array(
              'label' => t('My Vocabulary'),
              'entity class' => 'MyVocabularyEntity',
              'controller class' => 'MyVocabulryController',
              'base table' => 'my_vocabulary',
              'fieldable' => TRUE,
              'entity keys' => array(
                  'id' => 'entity_id',
                  'label' => 'vocabulary',
              ),
              'bundles' => array(
                  'my_vocabulary' => array(
                      'label'=>'My Vocabulary',
                      'admin' => array(
                          'path' => 'admin/structure/my-vocabulary/manage',
                          'access arguments' => array('administer my vocabulary'),
                          'controller class' => 'EntityDefaultUIController',
                      ),
                  ),
              ),
              'view modes' => array(
                  'full' => array(
                      'label' => t('Default'),
                      'custom settings' => FALSE,
                  ),
              ),
              'module' => 'my_vocabulary',
              'access callback' => 'my_vocabulary_access',
          ),
      );
  }

エンティティ（Entity）へのアクセス権限チェックentity_access()関数が利用された場合は"access callback"の定義が必要です