Паспорти безпеки

Паспорт - це обʼєкт, який містить користувача, який буде аутентифікований, а також інші частини інформації, на кшталт того, чи має бути перевірений пароль, або чи має бути підключена функція "запамʼятати мене".

За замовчуванням, Passport вимагає користувача та ідентифікаційні дані.

Використайте UserBadge, щоб приєднати користувача до паспорта. UserBadge вимагає ідентифікатор користувача (наприклад, імʼя користувача або адресу електронної пошти), який використовується для завантаження користувача при використанні постачальника користувачів :

1
2
3
4

use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge;

// ...
$passport = new Passport(new UserBadge($email), $credentials);

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

// src/Security/CustomAuthenticator.php
namespace App\Security;

use App\Repository\UserRepository;
// ...

class CustomAuthenticator extends AbstractAuthenticator
{
    private $userRepository;

    public function __construct(UserRepository $userRepository)
    {
        $this->userRepository = $userRepository;
    }

    public function authenticate(Request $request): Passport
    {
        // ...

        return new Passport(
            new UserBadge($email, function ($userIdentifier) {
                return $this->userRepository->findOneBy(['email' => $userIdentifier]);
            }),
            $credentials
        );
    }
}

Наступні класи ідентифікаційних даних підтримуються за замовчуваннямм:

PasswordCredentials

Це вимагає простого текстового $password, який валідується з використанням кодувальника паролів, сконфігурованого для користувача :

1
2
3
4

use Symfony\Component\Security\Http\Authenticator\Passport\Credentials\PasswordCredentials;

// ...
return new Passport(new UserBadge($email), new PasswordCredentials($plaintextPassword));

CustomCredentials

Дозволяє користувацькому замиканню перевіряти ідентифікаційні дані:

1
2
3
4
5
6
7
8
9
10
11
12
13
14

use Symfony\Component\Security\Http\Authenticator\Passport\Credentials\CustomCredentials;

// ...
return new Passport(new UserBadge($email), new CustomCredentials(
    // Якщо ця функція повертає будь-що, окрім `true`, ідентифікаційні дані
    // відмічаються як невалідні.
    // Параметр $credentials дорівнює наступному аргументу цього класу
    function ($credentials, UserInterface $user) {
        return $user->getApiToken() === $credentials;
    },

    // Користувацькі ідентифікаційні дані
    $apiToken
));

Паспорт самовалідації

Якщо вам не потрібно перевіряти ідентифікаційні дані (наприклад, при використанні токенів API), ви можете використати SelfValidatingPassport. Це клас вимагає лише обʼєкт UserBadge, і, за бажанням, Знаки паспорта.

Знаки паспорта

Passport також додатково дозволяє вам додавати знаки безпеки. Знаки додають паспорту більше даних (щоб розширити безпеку). За замовчуванням, наступні знаки підтримуються:

RememberMeBadge

Коли цей знак додається до паспорту, аутентифікатор відзначає, що підтримується "запамʼятати мене". Чи використовується насправді "запамʼятати мене", залежить від спеціальної конфігурації remember_me. Прочитайте Як додати функціональність входу у систему "Запамʼятати мене", щоб дізнатися більше.

PasswordUpgradeBadge

Це використовується для автоматичного оновлення пароля до нового хешу після успішного входу у систему. Цей знак вимагає простого текстового пароля та установника оновлень
паролів (наприклад, сховище користувачів). Див. .

CsrfTokenBadge

Автоматично валідує CSRF-токени для цього аутентифікатора під час аутентифікації. Конструктор вимагає ID токена (унікальні для кожної форми) та CSRF-токен (унікальний для кожного запиту). Див. Як реалізувати CSRF-захист.

PreAuthenticatedUserBadge

Означає, що цей користувач був попередньо аутентифікований (тобто, до запуску Symfony). Пропускає перед-аутентифікаційну перевірку користувачів.

Наприклад, якщо ви хочете додати CSRF до вашого користувацького аутентифікатора, ви запустите паспорт таким чином:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27

// src/Service/LoginAuthenticator.php
namespace App\Service;

// ...
use Symfony\Component\Security\Http\Authenticator\AbstractAuthenticator;
use Symfony\Component\Security\Http\Authenticator\Passport\Badge\CsrfTokenBadge;
use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge;
use Symfony\Component\Security\Http\Authenticator\Passport\Passport;
use Symfony\Component\Security\Http\Authenticator\Passport\Passport;

class LoginAuthenticator extends AbstractAuthenticator
{
    public function authenticate(Request $request): Passport
    {
        $password = $request->request->get('password');
        $username = $request->request->get('username');
        $csrfToken = $request->request->get('csrf_token');

        // ... валідувати, що жодний параметр не є порожнім

        return new Passport(
            new UserBadge($username),
            new PasswordCredentials($password),
            [new CsrfTokenBadge('login', $csrfToken)]
        );
    }
}

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

// ...
use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge;

class LoginAuthenticator extends AbstractAuthenticator
{
    // ...

    public function authenticate(Request $request): Passport
    {
        // ... обробити запит

        $passport = new SelfValidatingPassport(new UserBadge($username), []);

        // встановити користувацький атрибут (наприклад, scope)
        $passport->setAttribute('scope', $oauthScope);

        return $passport;
    }

    public function createToken(Passport $passport, string $firewallName): TokenInterface
    {
        // прочитати значення атрибута
        return new CustomOauthToken($passport->getUser(), $passport->getAttribute('scope'));
    }
}