Symfony uwierzytelnianie

pytanie zadane 18 grudnia 2019 w PHP przez michal_php Stary wyjadacz (13,700 p.)
edycja 18 grudnia 2019 przez michal_php

Cześć.

Mam takie pytanie odnośnie bezpieczeństwa w symfony. Gdzie jest zaszyta logika , która odpowiada za ciągle sprawdzanie cookie i tym samym dostosowywanie do roli jaką user posiada ? I jeśli to jest plik Vendor a czuje ,że tak.To jak można tam np zmodyfikować to aby dodać własny kod . W senie po instalacji biblioteki wróci do ustawień pierwotnych.Pytam ponieważ chciałbym dodać własny kod sprawdzający dodatkowy cookie.I nie wiem gdzie i jak to zrobić aby to było globalnie dla wszystkich klas.Tak jak działa sprawdzanie czy jesteśmy zalogowani.

1 odpowiedź

odpowiedź 18 grudnia 2019 przez Ehlert Ekspert (213,900 p.)

https://symfony.com/doc/4.0/security/form_login_setup.html

Masz tu docsa, przerabiasz go całego. Spróbuj się zalogować, otwórz profiler na requeście post i zobacz co jest w security. Na pewno odpala się jakiś guard/authenticator. Na pewno też możesz zrobić takiego swojego i dziedziczyć po tym od Symfony.

Pokaż 7 poprzednich komentarzy

komentarz 9 stycznia 2020 przez Ehlert Ekspert (213,900 p.)

Ok, możesz sobie sprawdzać urządzenie ale robi się to za pomocą user-agenta i IP zapisanego w bazie dla danego urządzenia. Jeśli nowego urządzenia nie ma, to wysyłasz maila z tokenem.

Ciastko nie ma nic do rzeczy. Moja metoda jest dobra, zawiera element dwuskładnikowy. Możesz poznać moje hasło i login, ale nie zalogujesz się bez dostępu do skrzynki mailowej.

Ogólnie pomijając ciastko z id sesji to nie używa się ciastek do operacji związanych z bezpieczeństwem. Wszystko po stornie backendu.

komentarz 9 stycznia 2020 przez michal_php Stary wyjadacz (13,700 p.)

Dobra już rozumiem o co już chodzi.Ale co jeśli ktoś ma zmienne ip bo pracuje na mobilnej to ciągle będzie musiał uwierzytelniać ? czemu ciastko jest złe ? Skoro jest chronione.

komentarz 9 stycznia 2020 przez michal_php Stary wyjadacz (13,700 p.)

Ale teraz tak patrze to z tym ip to też nie jest dobre rozwiązanie ponieważ połączyłem wiele urządzeń do jednej sieci i wszystkie mają to samo ip. Więc tym samym one już nie będą wymagały uwierzytelnienia.