{"id":5893,"date":"2026-04-11T09:05:13","date_gmt":"2026-04-11T12:05:13","guid":{"rendered":"https:\/\/thiagorossi.com.br\/blog\/?p=5893"},"modified":"2026-04-12T11:59:27","modified_gmt":"2026-04-12T14:59:27","slug":"autenticacao-e-autorizacao-no-cakephp","status":"publish","type":"post","link":"https:\/\/thiagorossi.com.br\/blog\/autenticacao-e-autorizacao-no-cakephp\/","title":{"rendered":"Autentica\u00e7\u00e3o e Autoriza\u00e7\u00e3o no CakePHP"},"content":{"rendered":"Tempo de leitura: <\/span> 5<\/span> minutos<\/span><\/span>\n

Autentica\u00e7\u00e3o e Autoriza\u00e7\u00e3o no CakePHP: Seja bem-vindo a um dos momentos mais cr\u00edticos e recompensadores da constru\u00e7\u00e3o de qualquer aplica\u00e7\u00e3o web. Se voc\u00ea acompanhou nossa jornada at\u00e9 aqui, j\u00e1 sabe como manipular dados, organizar o front-end e interceptar requisi\u00e7\u00f5es com Middlewares. Mas agora, precisamos responder \u00e0 pergunta fundamental: “Quem \u00e9 voc\u00ea e o que voc\u00ea pode fazer aqui dentro?”<\/strong><\/p>\n\n\n\n

Como especialista em CakePHP<\/strong>, preparei este d\u00e9cimo oitavo artigo para desbravar o ecossistema de seguran\u00e7a do framework. Vamos aprender a implementar um sistema de Autentica\u00e7\u00e3o e Autoriza\u00e7\u00e3o<\/strong> utilizando as ferramentas modernas do CakePHP (o plugin Authentication<\/code>), garantindo que seu blog ou seu sistema de vagas RPJobs<\/strong> seja uma fortaleza impenetr\u00e1vel.<\/p>\n\n\n\n

<\/div>\n\n\n\n

Autentica\u00e7\u00e3o e Autoriza\u00e7\u00e3o: Criando um sistema de login seguro no CakePHP<\/h2>\n\n\n\n

Autentica\u00e7\u00e3o e Autoriza\u00e7\u00e3o no CakePHP: No desenvolvimento de software, \u00e9 comum confundirmos esses dois conceitos, mas eles s\u00e3o os dois pilares que sustentam a seguran\u00e7a da informa\u00e7\u00e3o:<\/p>\n\n\n\n

    \n
  1. Autentica\u00e7\u00e3o (Authentication):<\/strong> \u00c9 o processo de verificar a identidade. (Ex: “Eu sou o Thiago e aqui est\u00e1 minha senha para provar”).<\/li>\n\n\n\n
  2. Autoriza\u00e7\u00e3o (Authorization):<\/strong> \u00c9 o processo de verificar permiss\u00f5es. (Ex: “O Thiago est\u00e1 logado, mas ele tem permiss\u00e3o para deletar este artigo?”).<\/li>\n<\/ol>\n\n\n\n

    O CakePHP abandonou o antigo AuthComponent<\/code> em favor de plugins mais robustos e desacoplados. Hoje, trabalhamos com uma arquitetura baseada em Middleware<\/strong>, o que torna o sistema muito mais flex\u00edvel e f\u00e1cil de testar.<\/p>\n\n\n\n

    <\/div>\n\n\n\n

    1. Instalando e Configurando o Plugin de Autentica\u00e7\u00e3o<\/h2>\n\n\n\n

    Para come\u00e7ar, precisamos do plugin oficial. No seu terminal, dentro da pasta do projeto, execute:<\/p>\n\n\n\n

    Bash<\/p>\n\n\n\n

    composer require cakephp\/authentication\n<\/code><\/pre>\n\n\n\n
    Este plugin n\u00e3o funciona como um “passe de m\u00e1gica”; ele precisa ser carregado na sua aplica\u00e7\u00e3o. O local correto para isso \u00e9 o arquivo src\/Application.php<\/code>.<\/p>\n\n\n\n
    <\/div>\n\n\n\n
    Onde a m\u00e1gica acontece: Application.php<\/h3>\n\n\n\n
    Voc\u00ea precisar\u00e1 implementar a AuthenticationServiceProviderInterface<\/code> e configurar o Middleware de autentica\u00e7\u00e3o.<\/p>\n\n\n\n
    PHP<\/p>\n\n\n\n
    \/\/ Em src\/Application.php\npublic function getAuthenticationService(ServerRequestInterface $request): AuthenticationServiceInterface\n{\n    $service = new AuthenticationService();\n\n    \/\/ Define onde o usu\u00e1rio ser\u00e1 redirecionado se n\u00e3o estiver logado\n    $service->setConfig([\n        'unauthenticatedRedirect' => Router::url(['controller' => 'Usuarios', 'action' => 'login']),\n        'queryParam' => 'redirect',\n    ]);\n\n    \/\/ Carrega os identificadores (como verificamos as credenciais)\n    $service->loadIdentifier('Authentication.Password', [\n        'fields' => [\n            'username' => 'email',\n            'password' => 'password',\n        ]\n    ]);\n\n    \/\/ Carrega os autenticadores (onde buscamos os dados: Sess\u00e3o e Formul\u00e1rio)\n    $service->loadAuthenticator('Authentication.Session');\n    $service->loadAuthenticator('Authentication.Form', [\n        'fields' => [\n            'username' => 'email',\n            'password' => 'password',\n        ],\n        'loginUrl' => Router::url(['controller' => 'Usuarios', 'action' => 'login']),\n    ]);\n\n    return $service;\n}\n<\/code><\/pre>\n\n\n\n
    <\/div>\n\n\n\n
    2. Preparando a Model: O Hash de Senha<\/h2>\n\n\n\n
    Seguran\u00e7a b\u00e1sica: nunca salve senhas em texto puro<\/strong>. O CakePHP facilita o hashing autom\u00e1tico atrav\u00e9s das Entities<\/strong>. Na sua classe src\/Model\/Entity\/Usuario.php<\/code>, adicione o m\u00e9todo mutador:<\/p>\n\n\n\n
    PHP<\/p>\n\n\n\n
    use Authentication\\PasswordHasher\\DefaultPasswordHasher;\n\nprotected function _setPassword(string $password): ?string\n{\n    if (strlen($password) > 0) {\n        return (new DefaultPasswordHasher())->hash($password);\n    }\n}\n<\/code><\/pre>\n\n\n\n
    Agora, sempre que voc\u00ea salvar um usu\u00e1rio, o CakePHP transformar\u00e1 “minha_senha_123” em um hash irreconhec\u00edvel antes de tocar no banco de dados.<\/p>\n\n\n\n
    <\/div>\n\n\n\n
    3. O Controller de Usu\u00e1rios: Login e Logout<\/h2>\n\n\n\n
    Com o servi\u00e7o configurado, precisamos da interface de login. No seu UsuariosController.php<\/code>, a l\u00f3gica de login torna-se extremamente limpa, pois o Middleware faz o trabalho pesado.<\/p>\n\n\n\n
    PHP<\/p>\n\n\n\n
    public function beforeFilter(\\Cake\\Event\\EventInterface $event)\n{\n    parent::beforeFilter($event);\n    \/\/ Permite que as a\u00e7\u00f5es de login e add sejam acessadas sem estar logado\n    $this->Authentication->addUnauthenticatedActions(['login', 'add']);\n}\n\npublic function login()\n{\n    $result = $this->Authentication->getResult();\n    \/\/ Se o usu\u00e1rio j\u00e1 est\u00e1 logado, envia para a home\n    if ($result->isValid()) {\n        $target = $this->Authentication->getLoginRedirect() ?? ['controller' => 'Artigos', 'action' => 'index'];\n        return $this->redirect($target);\n    }\n    \n    \/\/ Se o usu\u00e1rio submeteu o formul\u00e1rio e falhou\n    if ($this->request->is('post') && !$result->isValid()) {\n        $this->Flash->error('E-mail ou senha inv\u00e1lidos');\n    }\n}\n\npublic function logout()\n{\n    $this->Authentication->logout();\n    return $this->redirect(['controller' => 'Usuarios', 'action' => 'login']);\n}\n<\/code><\/pre>\n\n\n\n
    <\/div>\n\n\n\n
    4. Autoriza\u00e7\u00e3o: O Pr\u00f3ximo N\u00edvel (Policy)<\/h2>\n\n\n\n
    Estar logado \u00e9 apenas metade da batalha. O CakePHP utiliza o conceito de Policies<\/strong> (Pol\u00edticas) para a autoriza\u00e7\u00e3o. Uma Policy \u00e9 uma classe que decide se um usu\u00e1rio pode realizar uma a\u00e7\u00e3o em um recurso espec\u00edfico.<\/p>\n\n\n\n
    Se voc\u00ea quer verificar se um usu\u00e1rio pode editar um artigo, voc\u00ea cria um ArtigoPolicy.php<\/code>.<\/p>\n\n\n\n
    <\/div>\n\n\n\n
    Exemplo de Policy (src\/Policy\/ArtigoPolicy.php<\/code>)<\/h3>\n\n\n\n
    PHP<\/p>\n\n\n\n
    namespace App\\Policy;\n\nuse App\\Model\\Entity\\Artigo;\nuse Authorization\\IdentityInterface;\n\nclass ArtigoPolicy\n{\n    public function canEdit(IdentityInterface $user, Artigo $artigo)\n    {\n        \/\/ Apenas o dono do artigo ou um Admin pode editar\n        return $user->id === $artigo->usuario_id || $user->role === 'admin';\n    }\n}\n<\/code><\/pre>\n\n\n\n
    No Controller, voc\u00ea simplesmente chama: $this->Authorization->authorize($artigo, 'edit');<\/code>. Se a regra falhar, o CakePHP lan\u00e7a uma exce\u00e7\u00e3o de “Acesso Proibido” automaticamente.<\/p>\n\n\n\n
    <\/div>\n\n\n\n
    5. Prote\u00e7\u00e3o de Rotas e Seguran\u00e7a de Dados<\/h2>\n\n\n\n
    Ao implementar Autentica\u00e7\u00e3o e Autoriza\u00e7\u00e3o<\/strong>, seu sistema ganha camadas de prote\u00e7\u00e3o contra diversos ataques:<\/p>\n\n\n\n