安全

YAML:# app/config/security.ymlsecurity:    # ...
    firewalls:        # ...
        default:            # ...
    access_control:        # require ROLE_ADMIN for /admin*
        - { path: ^/admin, roles: ROLE_ADMIN }

(URL が属する) 領域全体を保護できるのは良いことですが、コントローラーの 特定のアクション を保護したい場合もあります。

必要に応じて、URL 一致条件を好きなだけ定義できます。各条件は正規表現です。 ただし、 では、 と 1 つの のみが一致します。 symfony は (ファイル内の) 先頭から検索を開始し、URL に一致する access_control エントリを見つけるとすぐに終了します。

PHP:// app/config/security.php$container->loadFromExtension('security', array(
    // ...     'access_control' => array(
        array('path' => '^/admin/users', 'role' => 'ROLE_SUPER_ADMIN'),
        array('path' => '^/admin', 'role' => 'ROLE_ADMIN'),
    ),));

XML:<!-- app/config/security.xml --><?xml version="1.0" encoding="UTF-8"?><srv:container xmlns="http://Symfony.com/schema/dic/security"    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"    xmlns:srv="http://Symfony.com/schema/dic/services"    xsi:schemaLocation="http://Symfony.com/schema/dic/services        http://Symfony.com/schema/dic/services/services-1.0.xsd">     <config>
        <!-- ... -->         <rule path="^/admin/users" role="ROLE_SUPER_ADMIN" />
        <rule path="^/admin" role="ROLE_ADMIN" />
    </config></srv:container>

YAML:# app/config/security.ymlsecurity:    # ...
    access_control:
        - { path: ^/admin/users, roles: ROLE_SUPER_ADMIN }
        - { path: ^/admin, roles: ROLE_ADMIN }

パスに ^ を追加すると、URL が「通常の条件に従って始まる」場合にのみ一致することになります。たとえば、パスに /admin (^ を除く) のみが含まれる場合、/admin/foo だけでなく /foo/ にも一致します。 ＃＃＃ この種。

¶

// ... public function helloAction($name){
    // The second parameter is used to specify on what object the role is tested.
    // 第二个参数用于指定“要将role作用到什么对象之上”
    $this->denyAccessUnlessGranted('ROLE_ADMIN', null, 'Unable to access this page!');     // Old way / 老办法:
    // if (false === $this->get('security.authorization_checker')->isGranted('ROLE_ADMIN')) {
    //     throw $this->createAccessDeniedException('Unable to access this page!');
    // }     // ...}

AccessDeniedException がスローされ、最終的に Symfony 内で 403 HTTP 応答がトリガーされます。 ＃＃＃＃＃＃＃＃＃それでおしまい！ユーザーがまだログインしていない場合は、ログインするように求められます (ログイン ページにリダイレクトされるなど)。 ログインしていても
ROLE_ADMIN

カスタマイズ可能です)。ログインしていて正しい役割を持っている場合、コードは実行を続けます。 SensioFrameworkExtraBundle のおかげで、コントローラーでアノテーションを使用できるようになりました。

// ...use Sensio\Bundle\FrameworkExtraBundle\Configuration\Security; /**
 * @Security("has_role('ROLE_ADMIN')")
 */public function helloAction($name){
    // ...}

¶
現在のユーザーがテンプレートでロールを持っているかどうかを確認したい場合は、組み込みの # を使用できます。 ##is_granted( )

PHP:<?php if ($view['security']->isGranted('ROLE_ADMIN')): ?>
    <a href="...">Delete</a><?php endif ?>

Twig:{% if is_granted('ROLE_ADMIN') %}
    <a href="...">Delete</a>{% endif %}

他のサービスを保護する ¶

「コントローラーを保護する」などの同様のコードを作成すると、Symfony 内のどこでも保護できます。電子メールを送信するためのサービス (つまり、php クラス) があるとします。このクラスの使用を、使用場所に関係なく、特定のユーザーのみに制限できます。

詳細については、プログラム内のサービスとメソッドを保護する方法を参照してください。

ユーザーがログインしているかどうかを確認します (IS_AUTHENTICATED_FULLY) ¶

これまでのところ、役割ベースのアクセス (ROLE_# で始まるアクセス) を確認しました。 ## prefix ユーザーに割り当てられる文字列です。ただし、ユーザーがログインしているかどうかを のみ確認したい (ロールの有無は気にしない) 場合は、IS_AUTHENTICATED_FULLY: // を使用できます。 ... public function helloAction ($name){

    if (!$this->get('security.authorization_checker')->isGranted('IS_AUTHENTICATED_FULLY')) {
        throw $this->createAccessDeniedException();
    }     // ...}

はロールではありませんが、その動作の一部はロールに似ており、ログインに成功したすべてのユーザーがそのようなロールを持ちます。実際、同様の特別な属性が 3 つあります:

##IS_AUTHENTICATED_REMEMBERED
• :

  すべての ログイン ユーザーは、" 経由でログインしている場合でも、この属性を持ちます。クッキーを覚えてください」とログインします。 remember me 機能 を使用しない場合でも、この属性を通じてユーザーがログインしているかどうかを確認できます。

  ##IS_AUTHENTICATED_FULLY
:
• IS_AUTHENTICATED_REMEMBERED

  と似ていますが、より堅牢です。 「記憶する Cookie」の IS_AUTHENTICATED_REMEMBERED のみに基づいてログインするユーザーには、IS_AUTHENTICATED_FULLY がありません。

  IS_AUTHENTICATED_ANONYMOUSLY
:
• すべての

  ユーザー (匿名ユーザーも含む) がこの属性を持ちます - URL が whitelist# # に配置されている場合# アクセスできることを確認すると便利です。詳細については、セキュリティの access_control の仕組みを参照してください。 テンプレートで式を使用することもできます:

  PHP:<?php if ($view['security']->isGranted(new Expression(
      '"ROLE_ADMIN" in roles or (user and user.isSuperAdmin())'))): ?>
      <a href="...">Delete</a><?php endif; ?>

  Twig:{% if is_granted(expression(
      '"ROLE_ADMIN" in roles or (user and user.isSuperAdmin())')) %}
      <a href="...">Delete</a>{% endif %}

式とセキュリティの詳細については、セキュリティ: 複雑なアクセス制御式.

アクセス制御リスト (ACL): 個々のデータベース オブジェクトの保護 ¶

ユーザーがトピックの下にコメントを残せるブログをデザインしていると想像してください。また、ユーザーが自分のコメントを編集できるようにする必要がありますが、他のユーザーは編集できないようにする必要があります。さらに、管理者ユーザーは、all 個のコメントを編集できるようにする必要があります。

これを行うには、2 つのオプションがあります:

• 有権者 ユーザーが独自のビジネス ロジックを作成できるようにする (例: ユーザーはこの記事を編集できます)そのまま作成しました）アクセスを確認します。このオプションは、上記の問題を解決するのに十分な柔軟性を備えているため、使用することもできます。

• ACLs any オブジェクトを任意の ユーザー Any# に割り当てることができるデータベース構造を作成できます。 ## アクセス権 (例: 編集、表示)。 ACL を使用するには、管理者ユーザーが何らかの管理インターフェイスを通じてシステムへのカスタム アクセスを許可する必要があります。

どちらの場合も、前の例と同様の方法を使用してアクセス拒否を実装する必要があります。

ユーザー オブジェクトを取得する

¶

検証後、

security.token_storage

を通じて現在のユーザーの User にアクセスできます。サービスオブジェクト。コントローラーで次のように記述します:

public function indexAction(){
    if (!$this->get('security.authorization_checker')->isGranted('IS_AUTHENTICATED_FULLY')) {
        throw $this->createAccessDeniedException();
    }     $user = $this->getUser();     // the above is a shortcut for this / 上面的写法是通过以下取法（再进行授权）的快捷方式
    $user = $this->get('security.token_storage')->getToken()->getUser();}




ユーザーはオブジェクトになり、オブジェクトが属するクラスは
ユーザー プロバイダー#によって異なります。 ##。


##3.2

メソッド シグネチャを介したユーザー関数の取得は、Symfony 3.2 から導入されました。

Controller を継承した場合でも、$this->getUser() を呼び出して取得できます。

これで、 User オブジェクトに基づいて任意のメソッドを呼び出すことができます。たとえば、User オブジェクトに getFirstName() メソッドがある場合、それを使用できます。

use Symfony\Component\HttpFoundation\Response;
// ... public function indexAction(){
  // ...     return new Response('Well hi there '.$user->getFirstName());}

ユーザーがログインしているかどうかを常に検出します

¶


ユーザーの最初の確認は非常に重要です。ログインしていない場合、

$user は null または anon. 文字列のいずれかになります。待って、なぜですか？はい、変です。ログインしていない場合、技術的にはユーザーは anon. である必要がありますが、コントローラーの getUser() ショートカット メソッドは便宜上これを null# に変換します ## 。 UserInterface のタイプ ヒントを使用し、ログインがオプションである場合、パラメータに null 値を設定できます:

public function indexAction(UserInterface $user = null){
    // $user is null when not logged-in or anon.
    // 当用户没有登陆，或者是anno.时，$user是null}

ビューは次のとおりです。常にそうする必要があります。 User オブジェクトを使用する前に、ユーザーがログインしているかどうかを確認してください。これは、

isGranted

メソッド (または access_control) を使用して行うことができます。テンプレート ユーザー ¶


オブジェクトを取得するには、twig テンプレートの app.user キーを使用できます:


// yay! Use this to see if the user is logged in// 耶！使用这个来查看用户是否已登陆if (!$this->get('security.authorization_checker')->isGranted('IS_AUTHENTICATED_FULLY')) {
    throw $this->createAccessDeniedException();} // boo :(. Never check for the User object to see if they're logged in// 哄！:(. 切勿通过检查User对象来判断用户是否已登陆if ($this->getUser()) { }

PHP:<?php if ($view['security']->isGranted('IS_AUTHENTICATED_FULLY')): ?>
    <p>Username: <?php echo $app->getUser()->getUsername() ?></p><?php endif; ?>

Logging out/ログアウト

¶

##http-basic 認証でファイアウォールを使用している場合、終了する方法がないことに注意してください: log out
が唯一の方法です。リクエストごとにユーザー名とパスワードの送信を停止するようにブラウザに指示するだけです。多くの場合、ブラウザのキャッシュをクリアするか再起動すると解決します。特定の Web 開発ツールも役立つ場合があります。

通常は、ユーザーがログアウトできるようにする必要があります。幸いなことに、logout 構成パラメータを有効にすると、ファイアウォールがこれを自動的に処理するのに役立ちます:

Twig:{% if is_granted('IS_AUTHENTICATED_FULLY') %}
    <p>Username: {{ app.user.username }}</p>{% endif %}

PHP:// app/config/security.php$container->loadFromExtension('security', array(
    // ...     'firewalls' => array(
        'secured_area' => array(
            // ...
            'logout' => array('path' => '/logout', 'target' => '/'),
        ),
    ),));

Twig:<!-- app/config/security.xml --><?xml version="1.0" encoding="UTF-8"?><srv:container xmlns="http://Symfony.com/schema/dic/security"    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"    xmlns:srv="http://Symfony.com/schema/dic/services"    xsi:schemaLocation="http://Symfony.com/schema/dic/services        http://Symfony.com/schema/dic/services/services-1.0.xsd">     <config>
        <!-- ... -->         <firewall name="secured_area">
            <!-- ... -->
            <logout path="/logout" target="/" />
        </firewall>
    </config></srv:container>

次に、この URL のルートを作成する必要があります (ただし、コントローラは必要ありません)。

YAML:# app/config/security.ymlsecurity:    # ...
    firewalls:
        secured_area:            # ...
            logout:
                path:   /logout
                target: /

rree

PHP:// app/config/routing.phpuse Symfony\Component\Routing\RouteCollection;use Symfony\Component\Routing\Route; $collection = new RouteCollection();$collection->add('logout', new Route('/logout')); return $collection;

＃＃＃それでおしまい！ Symfony は、ユーザーを

/logout (または設定した任意の path オプション) に送信することで、現在のユーザーの認証を解除します。

ユーザーがログアウトすると、定義された

target パラメーター (homepage など) に対応するパスにリダイレクトされます。

ログアウト後にさらに興味深いことを行う必要がある場合は、

success_handler キーを追加して「ログアウト成功ハンドラー」を指定できます)。次のように入力します。サービス定義の ID サービスのクラスは、LogoutSuccessHandlerInterface インターフェースを実装する必要があります。 セキュリティ構成リファレンスを参照してください。

レベル別のロール

¶

多数のロールをユーザーに関連付ける代わりに、ロール階層を作成することで、一連のロールを定義できます。 「ロール継承ルール」の:

XML:<!-- app/config/routing.xml --><?xml version="1.0" encoding="UTF-8" ?><routes xmlns="http://Symfony.com/schema/routing"    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"    xsi:schemaLocation="http://Symfony.com/schema/routing        http://Symfony.com/schema/routing/routing-1.0.xsd">     <route id="logout" path="/logout" /></routes>

YAML:# app/config/routing.ymllogout:
    path: /logout

PHP:// app/config/security.php$container->loadFromExtension('security', array(
    // ...     'role_hierarchy' => array(
        'ROLE_ADMIN'       => 'ROLE_USER',
        'ROLE_SUPER_ADMIN' => array(
            'ROLE_ADMIN',
            'ROLE_ALLOWED_TO_SWITCH',
        ),
    ),));

上記の構成では、ユーザー

ROLE_ADMIN は ROLE_USER ロールも持ちます。 ROLE_SUPER_ADMIN ロール。これには、ROLE_ADMIN、ROLE_ALLOWED_TO_SWITCH、および ROLE_USER (ROLE_ADMIN から継承) もあります。

まとめ

¶

ああ、よくやった！セキュリティの基本以上のことを学びました。最も難しいのは、認証戦略 (API トークンなど)、複雑な認可ロジック、その他多くのものの定義などのカスタム要件がある場合です (セキュリティは本質的に複雑であるため)。

幸いなことに、ここにはさまざまな状況を明確にすることを目的とした記事がたくさんあります。

セキュリティリファレンスも参照してください。多くの構成オプションは詳しく説明されていませんが、完全な構成ツリーを確認することは役立ちます。 ＃＃＃＃＃＃幸運を！
← パフォーマンス
シリアライザーの使い方 →