Symfony2具有多重角色要求的訪問控制

Question

在我的網站上，除了某些特定頁面（登錄，註冊，pwd重置）以外，用戶需要登錄。我已經實現了remember me功能，它運行良好。

我想實現的是，對於管理頁面，用戶應該有admin role and not remembered。爲了檢查這個要求，我在相關的access_control規則中使用了allow_if，但是它拒絕我的管理員用戶的訪問，儘管會話不被記住，並且我可以確認會話在調試工具欄上有UsernamePasswordToken。

我ACCESS_CONTROL規則如下：（4日一個不工作）

access_control: 
    - { path: ^/login$, role: IS_AUTHENTICATED_ANONYMOUSLY } 
    - { path: ^/user/register, role: IS_AUTHENTICATED_ANONYMOUSLY } 
    - { path: ^/user/resetting, role: IS_AUTHENTICATED_ANONYMOUSLY } 
    - { path: ^/admin, allow_if: "has_role('ROLE_ADMIN') and has_role('IS_AUTHENTICATED_FULLY')" } 
    - { path: ^/, role: IS_AUTHENTICATED_REMEMBERED } 

如果我從相應的訪問控制規則中刪除and has_role('IS_AUTHENTICATED_FULLY')部分，用戶可以通過授權，所以這個問題似乎是這部分。

has_role('IS_AUTHENTICATED_FULLY')有什麼問題？

Symfony的版本：2.7.5

Answer 1

好執行授權在控制器檢查，我找到了一個解決方法來解決這個問題。官方網站

How to use Expressions in Security, Routing, Services, and Validation菜譜文章有相關的部分，並指出可能使用is_remember_me()和is_fully_authenticated()方法檢查是否存在IS_AUTHENTICATED_REMEMBERED和IS_AUTHENTICATED_FULLY角色各自的。

is_remember_me比檢查IS_AUTHENTICATED_REMEMBERED

的is_remember_me和is_authenticated_fully功能類似於使用IS_AUTHENTICATED_REMEMBERED和IS_AUTHENTICATED_FULLY與isGranted功能不同 - 但它們是不一樣的。下面顯示的區別：

use Symfony\Component\ExpressionLanguage\Expression; 
// ... 

$ac = $this->get('security.authorization_checker'); 
$access1 = $ac->isGranted('IS_AUTHENTICATED_REMEMBERED'); 

$access2 = $ac->isGranted(new Expression(
'is_remember_me() or is_fully_authenticated()' 
)); 

這裏，$ access1和$ ACCESS2將是相同的值。與IS_AUTHENTICATED_REMEMBERED和IS_AUTHENTICATED_FULLY的行爲不同，is_remember_me函數僅在用戶通過remember-me cookie進行身份驗證時才返回true，而is_fully_authenticated僅在用戶在此會話期間實際登錄時返回true（即，是成熟的）。

使用文檔部分，我修改了我的訪問控制規則如下所示，現在的作品：

access_control: 
    - { path: ^/login$, role: IS_AUTHENTICATED_ANONYMOUSLY } 
    - { path: ^/user/register, role: IS_AUTHENTICATED_ANONYMOUSLY } 
    - { path: ^/user/resetting, role: IS_AUTHENTICATED_ANONYMOUSLY } 
    - { path: ^/admin, allow_if: "has_role('ROLE_ADMIN') and is_fully_authenticated()" } 
    - { path: ^/, role: IS_AUTHENTICATED_REMEMBERED } 

不過，我仍然認爲這是一個問題，是不是預期的行爲。所以，我在正式問題跟蹤開設了一個問題：

Github的問題：#16096 - Expression engine has_role() function can't process implicit roles

Answer 2

Documentation:

添加代碼以拒絕訪問有兩種方式，以拒絕 東西訪問：

1. 安全ACCESS_CONTROL .yml允許您保護URL模式（例如/ admin/*）。這很容易，但不太靈活;
2. 通過security.authorization_checker服務在您的代碼中。

您正在嘗試使用第一種方式，但可以僅使用第二種方法。

你需要通過把裏面的代碼

if (!$this->get('security.authorization_checker')->isGranted('IS_AUTHENTICATED_FULLY')) { 
    throw $this->createAccessDeniedException(); 
} 

你也可以使用SensioFrameworkExtraBundle，只是添加註釋到控制器

use Sensio\Bundle\FrameworkExtraBundle\Configuration\Security; 

... 

/** 
* @Security("is_granted('IS_AUTHENTICATED_FULLY')") 
*/ 
public function showAction() 
{ 
}