Bagian 3: Membership dan Permissions

<?php

declare(strict_types=1);

/**
 * Lapisan akses data untuk tabel memberships.
 *
 * Repository ini mengelola keanggotaan user pada tenant: menambah,
 * menghapus, dan membaca. Tiga lapisan aturan bekerja bersama di
 * sini:
 * 1. Validasi PHP (role di luar daftar -> InvalidArgumentException)
 *    agar gagal lebih awal dengan pesan yang jelas.
 * 2. Aturan domain (owner tidak dapat dikeluarkan -> RuntimeException)
 *    yang berlaku bahkan bila pemanggil lupa memeriksa permission.
 * 3. Constraint database (PK komposit menolak keanggotaan ganda ->
 *    PDOException 23000) sebagai pertahanan terakhir.
 */
final class MembershipRepository
{
    /** Daftar role yang diakui schema (CHECK constraint). */
    public const ROLE_VALID = ['owner', 'admin', 'member'];

    public function __construct(private PDO $pdo)
    {
        // PRAGMA foreign_keys berlaku per koneksi; constructor adalah
        // titik yang pasti dilewati setiap kali repository dibuat.
        $this->pdo->exec('PRAGMA foreign_keys = ON');
    }

    /**
     * Ambil satu keanggotaan; null bila user bukan anggota tenant.
     *
     * Method ini adalah primitif yang dipakai AccessControl untuk
     * membaca role seorang user pada satu tenant.
     *
     * @return array<string, mixed>|null baris: user_id, tenant_id, role
     */
    public function findByUserAndTenant(int $userId, int $tenantId): ?array
    {
        $stmt = $this->pdo->prepare(
            'SELECT user_id, tenant_id, role FROM memberships
              WHERE user_id = :user_id AND tenant_id = :tenant_id'
        );
        $stmt->execute(['user_id' => $userId, 'tenant_id' => $tenantId]);
        $baris = $stmt->fetch(PDO::FETCH_ASSOC);

        return $baris === false ? null : $baris;
    }

    /**
     * Daftar seluruh anggota satu tenant beserta emailnya.
     *
     * Perhatikan penyaringan: klausa WHERE memakai tenant_id, bukan
     * user_id — daftar anggota adalah data milik tenant, dan query
     * lintas tenant tidak boleh terjadi.
     *
     * @return list<array<string, mixed>> baris: user_id, email, role
     */
    public function listByTenant(int $tenantId): array
    {
        $sql = 'SELECT m.user_id, u.email, m.role
                  FROM memberships m
                  JOIN users u ON u.id = m.user_id
                 WHERE m.tenant_id = :tenant_id
                 ORDER BY u.email';

        $stmt = $this->pdo->prepare($sql);
        $stmt->execute(['tenant_id' => $tenantId]);

        return $stmt->fetchAll(PDO::FETCH_ASSOC);
    }

    /**
     * Tambahkan user ke tenant dengan role tertentu.
     *
     * Role divalidasi di PHP lebih dulu agar pesan galatnya jelas;
     * keanggotaan ganda pada tenant yang sama ditolak database lewat
     * primary key komposit (SQLSTATE 23000) — tangkap PDOException
     * bila perlombaan input membuat pre-check lolos.
     */
    public function add(int $userId, int $tenantId, string $role): void
    {
        if (!in_array($role, self::ROLE_VALID, true)) {
            throw new InvalidArgumentException(
                "Role tidak valid: '$role' (pilihan: " . implode(', ', self::ROLE_VALID) . ')'
            );
        }

        $stmt = $this->pdo->prepare(
            'INSERT INTO memberships (user_id, tenant_id, role)
             VALUES (:user_id, :tenant_id, :role)'
        );
        $stmt->execute(['user_id' => $userId, 'tenant_id' => $tenantId, 'role' => $role]);
    }

    /**
     * Hapus keanggotaan user dari tenant.
     *
     * Mengembalikan false bila keanggotaan tidak ditemukan. Owner
     * TIDAK dapat dihapus dari tenantnya — kepemilikan harus
     * dialihkan lebih dulu (atau tenant dihapus) — karena setiap
     * tenant wajib selalu punya satu pemilik yang dapat diganggu
     * gugat.
     */
    public function remove(int $userId, int $tenantId): bool
    {
        $target = $this->findByUserAndTenant($userId, $tenantId);
        if ($target === null) {
            return false;
        }

        if ($target['role'] === 'owner') {
            throw new RuntimeException(
                "User #$userId adalah owner tenant #$tenantId — alihkan kepemilikan sebelum menghapus keanggotaan"
            );
        }

        $stmt = $this->pdo->prepare(
            'DELETE FROM memberships
              WHERE user_id = :user_id AND tenant_id = :tenant_id'
        );
        $stmt->execute(['user_id' => $userId, 'tenant_id' => $tenantId]);

        return $stmt->rowCount() > 0;
    }
}

<?php
require __DIR__ . '/src/MembershipRepository.php';

$pdo = new PDO('sqlite::memory:');
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$pdo->exec('PRAGMA foreign_keys = ON');
$pdo->exec(file_get_contents(__DIR__ . '/../bagian-1-tenant-dan-domain-model/schema.sql'));

$repo = new MembershipRepository($pdo);

echo "Anggota tenant #1 (toko-bunga-melati):\n";
foreach ($repo->listByTenant(1) as $m) {
    echo "  user #{$m['user_id']} {$m['email']} => {$m['role']}\n";
}

echo "\nadd(4, 1, 'member') — Rudi bergabung ke tenant #1\n";
$repo->add(4, 1, 'member');
foreach ($repo->listByTenant(1) as $m) {
    echo "  user #{$m['user_id']} {$m['email']} => {$m['role']}\n";
}

$baru = $repo->findByUserAndTenant(4, 1);
echo "\nfindByUserAndTenant(4, 1): user #{$baru['user_id']}"
    . " di tenant #{$baru['tenant_id']} sebagai {$baru['role']}\n";
echo 'findByUserAndTenant(1, 2) — Budi di tenant #2: ';
var_dump($repo->findByUserAndTenant(1, 2));

echo "\nremove(4, 1): ", ($repo->remove(4, 1) ? 'true' : 'false'), "\n";
echo "remove(4, 1) lagi: ", ($repo->remove(4, 1) ? 'true' : 'false'), "\n";

echo "\nremove(1, 1) — mencoba mengeluarkan owner:\n";
try {
    $repo->remove(1, 1);
    echo "  Terhapus.\n";
} catch (RuntimeException $e) {
    echo "  Ditolak aturan domain: {$e->getMessage()}\n";
}

echo "\nadd(1, 1, 'admin') — keanggotaan ganda:\n";
try {
    $repo->add(1, 1, 'admin');
    echo "  Tersimpan.\n";
} catch (PDOException $e) {
    echo "  Ditolak database [{$e->getCode()}]: {$e->getMessage()}\n";
}

echo "\nadd(4, 1, 'supervisor') — role di luar daftar:\n";
try {
    $repo->add(4, 1, 'supervisor');
    echo "  Tersimpan.\n";
} catch (InvalidArgumentException $e) {
    echo "  Ditolak PHP: {$e->getMessage()}\n";
}

echo "\nJumlah keanggotaan tenant #1 tetap: ", count($repo->listByTenant(1)), "\n";

Anggota tenant #1 (toko-bunga-melati):
  user #1 [email protected] => owner
  user #3 [email protected] => member

add(4, 1, 'member') — Rudi bergabung ke tenant #1
  user #1 [email protected] => owner
  user #3 [email protected] => member
  user #4 [email protected] => member

findByUserAndTenant(4, 1): user #4 di tenant #1 sebagai member
findByUserAndTenant(1, 2) — Budi di tenant #2: NULL

remove(4, 1): true
remove(4, 1) lagi: false

remove(1, 1) — mencoba mengeluarkan owner:
  Ditolak aturan domain: User #1 adalah owner tenant #1 — alihkan kepemilikan sebelum menghapus keanggotaan

add(1, 1, 'admin') — keanggotaan ganda:
  Ditolak database [23000]: SQLSTATE[23000]: Integrity constraint violation: 19 UNIQUE constraint failed: memberships.user_id, memberships.tenant_id

add(4, 1, 'supervisor') — role di luar daftar:
  Ditolak PHP: Role tidak valid: 'supervisor' (pilihan: owner, admin, member)

Jumlah keanggotaan tenant #1 tetap: 2

<?php

declare(strict_types=1);

/**
 * Pemeriksa izin berbasis role untuk satu tenant.
 *
 * Satu pertanyaan diajukan ke class ini: bolehkah user X melakukan
 * aksi Y pada tenant Z? Jawabannya selalu boolean, dan dua jalur
 * gagal sama-sama mengembalikan false:
 *
 * 1. User bukan anggota tenant tersebut -> false.
 * 2. Aksi tidak dikenal dalam matriks -> false (deny by default).
 *
 * AccessControl TIDAK menulis atau mengubah data; ia hanya membaca
 * role lewat MembershipRepository lalu membaca matriks. Menambah
 * aksi baru berarti menambah satu baris di MATRIX — lupa menambah
 * berarti aksi itu selalu ditolak, bukan selalu diizinkan.
 */
final class AccessControl
{
    /**
     * Matriks izin: role => aksi => boleh?
     *
     * owner  : semua aksi, termasuk mengubah role dan menghapus tenant.
     * admin  : mengelola proyek dan anggota, tanpa hak atas role,
     *          billing, dan penghapusan tenant.
     * member : baca proyek saja (read-only).
     */
    private const MATRIX = [
        'owner' => [
            'project.view'   => true,
            'project.create' => true,
            'project.delete' => true,
            'member.invite'  => true,
            'member.remove'  => true,
            'member.role'    => true,
            'billing.manage' => true,
            'tenant.delete'  => true,
        ],
        'admin' => [
            'project.view'   => true,
            'project.create' => true,
            'project.delete' => true,
            'member.invite'  => true,
            'member.remove'  => true,
            'member.role'    => false,
            'billing.manage' => false,
            'tenant.delete'  => false,
        ],
        'member' => [
            'project.view'   => true,
            'project.create' => false,
            'project.delete' => false,
            'member.invite'  => false,
            'member.remove'  => false,
            'member.role'    => false,
            'billing.manage' => false,
            'tenant.delete'  => false,
        ],
    ];

    public function __construct(private MembershipRepository $memberships)
    {
    }

    /**
     * Bolehkah $userId melakukan $action pada $tenantId?
     *
     * Urutan pemeriksaan: keanggotaan dulu (bukan anggota => false),
     * lalu matriks role (aksi tak dikenal => false). Tidak ada
     * pengecualian di luar dua aturan itu.
     */
    public function can(int $userId, string $action, int $tenantId): bool
    {
        $keanggotaan = $this->memberships->findByUserAndTenant($userId, $tenantId);
        if ($keanggotaan === null) {
            return false;
        }

        return self::MATRIX[$keanggotaan['role']][$action] ?? false;
    }
}

<?php
require __DIR__ . '/src/MembershipRepository.php';
require __DIR__ . '/src/AccessControl.php';

$pdo = new PDO('sqlite::memory:');
$pdo->setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION);
$pdo->exec('PRAGMA foreign_keys = ON');
$pdo->exec(file_get_contents(__DIR__ . '/../bagian-1-tenant-dan-domain-model/schema.sql'));

$repo = new MembershipRepository($pdo);
$access = new AccessControl($repo);

$aksi = [
    'project.view', 'project.create', 'project.delete',
    'member.invite', 'member.remove', 'member.role',
    'billing.manage', 'tenant.delete',
];
$pemegangRole = [
    [1, 1], // Budi, owner tenant #1
    [3, 2], // Dewi, admin tenant #2
    [3, 1], // Dewi, member tenant #1
];

printf("%-18s %-12s %-12s %s\n", 'Aksi', 'owner', 'admin', 'member');
foreach ($aksi as $a) {
    printf(
        "%-18s %-12s %-12s %s\n",
        $a,
        $access->can($pemegangRole[0][0], $a, $pemegangRole[0][1]) ? 'YA' : 'TIDAK',
        $access->can($pemegangRole[1][0], $a, $pemegangRole[1][1]) ? 'YA' : 'TIDAK',
        $access->can($pemegangRole[2][0], $a, $pemegangRole[2][1]) ? 'YA' : 'TIDAK'
    );
}

echo "\nDeny by default — tiga jalan yang semuanya berakhir TIDAK:\n";
$kasus = [
    [1, 'project.export', 1, 'aksi tidak dikenal (owner sekalipun)'],
    [4, 'project.create', 1, 'Rudi bukan anggota tenant #1'],
    [1, 'project.create', 2, 'Budi bukan anggota tenant #2 (lintas tenant)'],
];
foreach ($kasus as [$uid, $aksiDicurigai, $tid, $keterangan]) {
    printf(
        "  can(%d, '%s', %d) => %s — %s\n",
        $uid,
        $aksiDicurigai,
        $tid,
        $access->can($uid, $aksiDicurigai, $tid) ? 'YA' : 'TIDAK',
        $keterangan
    );
}

echo "\nSimulasi gerbang di handler:\n";
if (!$access->can(3, 'project.create', 1)) {
    echo "  Dewi (member) mencoba membuat proyek di tenant #1 => 403 Ditolak\n";
}
if ($access->can(3, 'project.create', 2)) {
    echo "  Dewi (admin) membuat proyek di tenant #2 => diizinkan\n";
}

echo "\nPertahanan berlapis: admin boleh member.remove, owner tetap terlindungi\n";
echo '  can(3, member.remove, 2) => ', $access->can(3, 'member.remove', 2) ? "YA\n" : "TIDAK\n";
try {
    $repo->remove(2, 2);
    echo "  remove(2, 2) terhapus.\n";
} catch (RuntimeException $e) {
    echo "  remove(2, 2) ditolak: {$e->getMessage()}\n";
}

Aksi               owner        admin        member
project.view       YA           YA           YA
project.create     YA           YA           TIDAK
project.delete     YA           YA           TIDAK
member.invite      YA           YA           TIDAK
member.remove      YA           YA           TIDAK
member.role        YA           TIDAK        TIDAK
billing.manage     YA           TIDAK        TIDAK
tenant.delete      YA           TIDAK        TIDAK

Deny by default — tiga jalan yang semuanya berakhir TIDAK:
  can(1, 'project.export', 1) => TIDAK — aksi tidak dikenal (owner sekalipun)
  can(4, 'project.create', 1) => TIDAK — Rudi bukan anggota tenant #1
  can(1, 'project.create', 2) => TIDAK — Budi bukan anggota tenant #2 (lintas tenant)

Simulasi gerbang di handler:
  Dewi (member) mencoba membuat proyek di tenant #1 => 403 Ditolak
  Dewi (admin) membuat proyek di tenant #2 => diizinkan

Pertahanan berlapis: admin boleh member.remove, owner tetap terlindungi
  can(3, member.remove, 2) => YA
  remove(2, 2) ditolak: User #2 adalah owner tenant #2 — alihkan kepemilikan sebelum menghapus keanggotaan

aplikasi-saas-multi-tenant/
├── bagian-1-tenant-dan-domain-model/
│   └── schema.sql
└── bagian-3-membership-dan-permissions/
    ├── src/
    │   ├── AccessControl.php
    │   └── MembershipRepository.php
    └── uji-permissions.php

php uji-permissions.php