Symfonyob娱乐下载 2.4新增功能:轻松自定义安全特性

2013年6月13日·发表的

警告:这篇文章是关于一个不受支持的Symfony版本。ob娱乐下载有些信息可能已经过时了。阅读最新的Symfony文档ob娱乐下载．

那么，您听说过使用Symfony2安全层很复杂吗?ob娱乐下载我倾向于既同意又不同意。一方面，如果您的需求是“标准的”(用户存储在数据库中的表单身份验证、HTTP基本身份验证等等)，那么设置安全性就像配置一些选项一样简单。

但另一方面，如果您想要一个自定义身份验证/授权/用户提供程序系统，事情就会变得有点复杂，因为您需要理解所有的概念以及需要如何连接所有内容。从Symfoob娱乐下载ny 2.4开始，由于引入了一些更简单的方法来定制安全层，而不需要创建一堆类，因此这个过程变得更容易了。在这篇文章中，我将描述如何编写一些常见的特性。

使用自定义用户提供程序

在开始深入研究新的自定义特性之前，让我们通过将用户凭证存储在平面文件中来简化事情。当然，大多数情况下，用户凭证存储在数据库中;Symfob娱乐下载ony提供了Doctrine和Propel的内置集成。

为了保持示例简单，让我们使用一个简单的JSON文件:

｛

"foo": "37b51d194a7513e45b56f6524f2d51f2"， "bob": "098f6bcd4621d373cade4e832627b4f6"

｝

用户名是密钥，值是密码，用md5函数来保持简单。

创建用户提供程序与实现一样简单ob娱乐下载\组件\安全\核心\用户\ UserProviderInterface：

              12 34 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38
              使用ob娱乐下载＼组件＼安全＼核心＼用户＼用户；使用ob娱乐下载＼组件＼安全＼核心＼用户＼UserProviderInterface；使用ob娱乐下载＼组件＼安全＼核心＼用户＼用户界面；使用ob娱乐下载＼组件＼安全＼核心＼异常＼UsernameNotFoundException；使用ob娱乐下载＼组件＼安全＼核心＼异常＼UnsupportedUserException；类JsonUserProvider实现了UserProviderInterface｛受保护的＄用户；公共函数__construct（）｛＄这->用户= json_decode(file_get_contents(“/道路/ / users.json”)，真正的）;｝公共函数loadUserByUsername（＄用户名）｛如果（收取（＄这->用户(＄用户名))) {返回新用户(＄用户名，＄这->用户(＄用户名),数组（“ROLE_USER”));｝扔新UsernameNotFoundException (sprintf (“用户名“%s”不存在。”，＄用户名));｝公共函数refreshUser(用户界面＄用户）｛如果（！＄用户运算符用户){扔新UnsupportedUserException (sprintf (“不支持“%s”的实例。”get_class (＄用户)));｝返回＄这->loadUserByUsername (＄用户->getUsername ());｝公共函数supportsClass（＄类）｛返回Sob娱乐下载ymfony的核心组件\ \安全\ \ \用户”= = =＄类；}}
             

我们使用的是内置的用户类来表示我们的用户。在你的配置中使用这个提供程序是很简单的:

              12 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19
              服务:json_user_provider:｛类:JsonUserProvider｝安全:提供者:json:id:json_user_provider防火墙:secured_area:模式:^ /管理供应商:json#……编码器:ob娱乐下载Symfony核心组件\ \安全\ \ \用户:算法:md5迭代:0encode_as_base64:假
             

这是怎么回事?

一个json_user_provider定义服务;
一个json用户提供程序链接到我们的json_user_provider服务;
的json用户提供程序用于secured_area防火墙;
的用户密码编码器设置使用简单md5散列。

提示

有关用户的更多信息，请参见书，然后读这个食谱了解如何创建自己的用户提供程序。

此用户提供程序与身份验证机制是分离的，因此您可以使用它们中的任何一个:表单、API密钥、HTTP基础，等等。

自定义认证失败和成功

在验证机制之后，你有机会通过添加一些方法到你的authenticator类来调整默认行为:

              12 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19
              使用ob娱乐下载＼组件＼安全＼核心＼异常＼AuthenticationException；使用ob娱乐下载＼组件＼安全＼Http＼身份验证＼AuthenticationFailureHandlerInterface；使用ob娱乐下载＼组件＼安全＼Http＼身份验证＼AuthenticationSuccessHandlerInterface；使用ob娱乐下载＼组件＼安全＼核心＼身份验证＼令牌＼TokenInterface；使用ob娱乐下载＼组件＼HttpFoundation＼请求；使用ob娱乐下载＼组件＼HttpFoundation＼响应；类CustomTimeAuthenticator扩展TimeAuthenticator实现了AuthenticationFailureHandlerInterface，AuthenticationSuccessHandlerInterface｛公共函数onAuthenticationFailure(请求＄请求, AuthenticationException＄异常）{error_log (“你出局了!”）;｝公共函数onAuthenticationSuccess(请求＄请求, TokenInterface＄令牌）{error_log (sprintf (“是的，你在“%s”!”，＄令牌->getUsername ()));}}
             

这里，我们用error_log ()函数记录一些信息。但是您也可以通过返回响应实例:

              1 2 3 4 5 6
              公共函数onAuthenticationFailure(请求＄请求, AuthenticationException＄异常）｛如果（＄异常->getCode ()) {返回新响应(“现在不是登录的时候，待会儿再来吧。”）;}}
             

使用API密钥对用户进行认证

现在，通过API密钥对用户进行身份验证是很常见的(例如，在开发web服务时)。API密钥为每个请求提供，并作为查询字符串参数或通过HTTP报头传递。

让我们对API键使用相同的JSON文件，但值现在是用户API键。基于请求信息对用户进行身份验证应该通过身份验证前机制完成。新ob娱乐下载\组件\安全\核心\身份验证\ SimplePreAuthenticatorInterface类可以很容易地实现这样的方案:

              12 34 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52
              使用ob娱乐下载＼组件＼安全＼核心＼身份验证＼SimplePreAuthenticatorInterface；使用ob娱乐下载＼组件＼安全＼核心＼身份验证＼令牌＼TokenInterface；使用ob娱乐下载＼组件＼安全＼核心＼异常＼AuthenticationException；使用ob娱乐下载＼组件＼安全＼核心＼身份验证＼令牌＼PreAuthenticatedToken；使用ob娱乐下载＼组件＼HttpFoundation＼请求；使用ob娱乐下载＼组件＼安全＼核心＼用户＼用户；使用ob娱乐下载＼组件＼安全＼核心＼用户＼UserProviderInterface；使用ob娱乐下载＼组件＼安全＼核心＼异常＼UsernameNotFoundException；使用ob娱乐下载＼组件＼安全＼核心＼异常＼BadCredentialsException；类TimeAuthenticator扩展JsonUserProvider实现了SimplePreAuthenticatorInterface｛受保护的＄apikey；公共函数__construct（）｛父：：__construct ();＄这->Apikeys = array_flip(＄这->用户);｝公共函数createToken(请求＄请求，＄providerKey）｛如果（！＄请求->查询->有(“apikey”)) {扔新BadCredentialsException (“没有找到API键”）;｝返回新PreAuthenticatedToken (“不久。”，＄请求->查询->get (“apikey”)，＄providerKey）;｝公共函数authenticateToken(TokenInterface＄令牌, UserProviderInterface＄userProvider，＄providerKey）｛＄currentHour=日期(‘G’）;如果（＄currentHour<14||＄currentHour>16) {扔新AuthenticationException (“你只能在2点到4点之间登录!”，One hundred.）;｝＄apikey＝＄令牌->getCredentials ();如果（！收取（＄这->apikey [＄apikey))) {扔新AuthenticationException (sprintf (“API密钥“%s”不存在。”，＄apikey));｝＄用户＝新用户(＄这->apikey [＄apikey),＄apikey，数组（“ROLE_USER”));返回新PreAuthenticatedToken (＄用户，＄令牌->getCredentials (),＄providerKey，＄用户->将getRoles ());｝公共函数supportsToken(TokenInterface＄令牌，＄providerKey）｛返回＄令牌运算符PreAuthenticatedToken & &＄令牌->getProviderKey () = = =＄providerKey；}}
             

可以看到，这个类看起来与基于表单的类几乎相同，只是我们使用的是ob娱乐下载\组件\安全\核心\身份验证\令牌\ PreAuthenticatedToken令牌类。

如果要访问该认证器保护的资源，需要添加apikey参数设置为查询字符串，如inhttp://example.com/admin/foo?apikey=37b51d194a7513e45b56f6524f2d51f2．

配置也很简单(替换简单的形式与simple-preauth)：

              1 2 3 4 5 6 7
              安全:防火墙:secured_area:模式:^ /管理simple-preauth:供应商:json身份验证:time_authenticator
             

在防火墙中使用多个身份验证器

如果应用程序能够返回资源的HTML和JSON/XML表示，那么同时支持基于api密钥的身份验证机制(用于编程访问)和常规身份验证登录表单(用于浏览器)可能是个好主意。

这样做很简单:

              12 3 4 5 6 7 8 9 10 11 12
              安全:防火墙:secured_area:模式:^ /管理simple-preauth:供应商:json身份验证:pre_auth_time_authenticator简单的形式:供应商:json身份验证:form_time_authenticatorcheck_path:security_checklogin_path:登录
             

结论

我希望这种自定义Symfony安全特性的新方法将有助于降低新开发人员的入门门槛。ob娱乐下载这个新功能仍处于实验阶段，根据您的反馈，在2.4发布之前可能会有所改变。所以，试着使用它，告诉我们你的想法。

发表在＃生活在边缘

帮助Symfonyob娱乐下载项目!

与任何开源项目一样，贡献代码或文档是最常欧宝官网下载app见的帮助方式，但我们也有广泛的赞助机会．

艾伯特Casademont 2013年6月13日在11:26里

# 1

好帖子!这难道不应该是一本烹饪书吗?

法比安效力

">认证 2013年6月13日在12点

＃2

新类/方法的好名字可能是我们需要正确处理的最重要的事情。有关它们的讨论，请参阅https://githob娱乐下载ub.com/symfony/symfony/issues/8268。

Marcin Chwedziak 2013年6月13日在16:47

# 3

它应该是form_login而不是form-login，不是吗?

弗朗索瓦Pluchino 2013年6月18日在14:57

# 4

非常有趣的帖子!

Yaismel米兰达 2013年6月18日在22:46

# 5

好帖子!

路易斯·科尔多瓦 2013年6月19日在05:53

# 6

我有个问题，为什么

”“php
返回新的UsernamePasswordToken($user， 'bar'， $providerKey， $user->getRoles());
' ' '
你指定'bar'作为密码，我猜只是一个填充，但我们为什么要这样做?它以何种方式影响以后令牌的处理?还是应该是$user->getPassword()?

路易斯·科尔多瓦 2013年6月19日在05:58

# 7

你也没有从构造函数$this->用户?

' ' '
公共函数__construct()
｛
父:__construct ();

$this->apikeys = array_flip($this->用户);
｝
' ' '

路易斯·科尔多瓦 2013年6月19日在06:02

# 8

另一个重构

' ' '
返回新的PreAuthenticatedToken($user， $token->getCredentials()， $providerKey， $user->getRoles());
' ' '

应该是

' ' '
返回new PreAuthenticatedToken($user， $apiKey， $providerKey， $user->getRoles());
' ' '

因为你已经定义了它

路易斯·科尔多瓦 2013年6月19日在06:08

# 9

我想这有助于了解如何使用2.2遗留代码完成同样的工作。这有助于比较幕后发生的事情。

这个特性看起来很整洁，只是想知道它能有多健壮，以及是否在某些情况下，使用旧的方式比依赖它更好。

评论截止。

为了确保评论保持相关性，旧帖子将被关闭。

菜单

Symfonyob娱乐下载 2.4新增功能:轻松自定义安全特性

使用自定义用户提供程序

使用自定义验证器

自定义认证失败和成功

使用API密钥对用户进行认证

在防火墙中使用多个身份验证器

结论

评论

评论截止。

0b足球

学习Symfob娱乐下载ony

截屏

欧宝体育平台怎么样

博客

服务

部署在