Доступ до менеджера рішень

Так як ухвалення рішень про те, чи авторизовано користувача виконувати певну дію, може бути достатньо складним процесом, сам стандартний AccessDecisionManager залежить від декількох виборців та виносить фінальний вердикт, засновуючись на всіх голосах (позитивних, негативних та нейтральних), які він отримав, та заданій стратегії.

Застосування доступних опцій в деталях:

1
2
3
4
5
6
7
8
9

use Symfony\Component\Security\Core\Authorization\AccessDecisionManager;

// екземпляри Symfony\Component\Security\Core\Authorization\Voter\VoterInterface
$voters = [...];

// екземпляр Symfony\Component\Security\Core\Authorization\Strategy\AccessDecisionStrategyInterface
$strategy = ...;

$accessDecisionManager = new AccessDecisionManager($voters, $strategy);

Стратегії

Наступні стратегії входять в пакет компоненту:

AffirmativeStrategy (за замовчуванням)

надає доступ як тільки існує хоча б один виборець, що гарантує доступ;

ConsensusStrategy

надати доступ, якщо є більше виборців, що надають доступ, ніж тих, що його забороняють; якщо голоси розприділились порівну, рішення ухвалюється виходячи з параметру конструктора $allowIfEqualGrantedDeniedDecisions, який за замовчуванням true.

UnanimousStrategy

надати доступ тільки якщо жоден з виборців його не заборонив.

PriorityStrategy

надає або забороняє доступ по першому виборцю, який не утримується;

5.1

Версія стратегії "priority" була представлена в Symfony 5.1.

Якщо всі виборці утримались від голосування, рішення засновується на параметрі конструктора $allowIfAllAbstainDecisions, який підтримується всіма вбудованими стратегіями, і за замовчуванням false.

Якщо жодна з вбудованих стратегій не підходить, може бути надана користувацька стратегія. Стратегия отримає потік голосів і може повернутися, як тільки буде достатньо голосів для ухвалення рішення.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

/**
 * Завжди обирає третього виборця.
 */
class ThirdVoterStrategy implements AccessDecisionStrategyInterface
{
    public function decide(\Traversable $results): bool
    {
        $votes = 0;
        foreach ($results as $result) {
            if (++$votes === 3) {
                return $result === VoterInterface::ACCESS_GRANTED;
            }
        }

        return false;
    }
}

Виборці

Виборці є екземплярами класу VoterInterface, що означає, що вони мають реалізовувати декілька методів, що дозволяє менеджеру рішень використовувати їх:

vote(TokenInterface $token, $object, array $attributes)

цей метод буде проводити голосування та повертати значення, що дорівнює одній з констант класу VoterInterface, тобто VoterInterface::ACCESS_GRANTED, VoterInterface::ACCESS_DENIED або VoterInterface::ACCESS_ABSTAIN;

Компонент Безпека містить декілька стандартних виборців, які охоплюють безліч випадків застосування:

1
2
3
4
5
6
7
8
9
10
11
12
13

use Symfony\Component\Security\Core\Authentication\AuthenticationTrustResolver;

$trustResolver = new AuthenticationTrustResolver();

$authenticatedVoter = new AuthenticatedVoter($trustResolver);

// екземпляр Symfony\Component\Security\Core\Authentication\Token\TokenInterface
$token = ...;

// будь-який об'єкт
$object = ...;

$vote = $authenticatedVoter->vote($token, $object, ['IS_AUTHENTICATED_FULLY']);

1
2
3
4
5

use Symfony\Component\Security\Core\Authorization\Voter\RoleVoter;

$roleVoter = new RoleVoter('ROLE_');

$roleVoter->vote($token, $object, array('ROLE_ADMIN'));

1
2
3
4
5
6
7
8
9
10

use Symfony\Component\Security\Core\Authorization\Voter\RoleHierarchyVoter;
use Symfony\Component\Security\Core\Role\RoleHierarchy;

$hierarchy = [
    'ROLE_SUPER_ADMIN' => ['ROLE_ADMIN', 'ROLE_USER'],
];

$roleHierarchy = new RoleHierarchy($hierarchy);

$roleHierarchyVoter = new RoleHierarchyVoter($roleHierarchy);

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

use Symfony\Component\ExpressionLanguage\Expression;
use Symfony\Component\Security\Core\Authorization\Voter\ExpressionVoter;

// Symfony\Component\Security\Core\Authorization\ExpressionLanguage;
$expressionLanguage = ...;

// екземпляр Symfony\Component\Security\Core\Authentication\AuthenticationTrustResolverInterface
$trustResolver = ...;

// Symfony\Component\Security\Core\Authorization\AuthorizationCheckerInterface
$authorizationChecker = ...;

$expressionVoter = new ExpressionVoter($expressionLanguage, $trustResolver, $authorizationChecker);

// екземпляр Symfony\Component\Security\Core\Authentication\Token\TokenInterface
$token = ...;

// будь-який об'єкт
$object = ...;

$expression = new Expression(
    '"ROLE_ADMIN" in role_names or (not is_anonymous() and user.isSuperAdmin())'
);

$vote = $expressionVoter->vote($token, $object, [$expression]);

Ролі

Ролі - це рядки, які надають вирази певному праву користувача (наприклад, "редагувати пост в блозі", "створити інвойс"). Ви можете вільно обирати ці рядки. Єдина вимога - вони мають починатися з префіксу ROLE_ (наприклад, ROLE_POST_EDIT, ROLE_INVOICE_CREATE).

Використання менеджера рішень

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

use Symfony\Component\HttpFoundation\RequestMatcher;
use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorage;
use Symfony\Component\Security\Http\AccessMap;
use Symfony\Component\Security\Http\Firewall\AccessListener;

$accessMap = new AccessMap();
$tokenStorage = new TokenStorage();
$requestMatcher = new RequestMatcher('^/admin');
$accessMap->add($requestMatcher, ['ROLE_ADMIN']);

$accessListener = new AccessListener(
    $tokenStorage,
    $accessDecisionManager,
    $accessMap,
    $authenticationManager
);

1
2
3
4
5
6
7
8
9
10
11
12

use Symfony\Component\Security\Core\Authorization\AuthorizationChecker;
use Symfony\Component\Security\Core\Exception\AccessDeniedException;

$authorizationChecker = new AuthorizationChecker(
    $tokenStorage,
    $authenticationManager,
    $accessDecisionManager
);

if (!$authorizationChecker->isGranted('ROLE_ADMIN')) {
    throw new AccessDeniedException();
}