重用@Security注解定义的安全规则

Question

当@Security注解定义的权限时，是否可以检查用户是否可以从控制器本身外部访问控制器？
例如：
如果我们有这样的控制器：

/**
* @Security("has_role('ROLE_ADMIN')")
*/
function myController() { ... }

我们可以像这样执行授权检查吗：

[伪代码]

    // get an object representation of `@Security` annotation
    $controllerSecurity = $this->get('some_magic_service')
        ->getSecurityForController('Bundle:Controller:myController');
   // check if a current user is granted
   if ($controllerSecurity->isGranted($user)) { ... }

[/伪代码]

我认为 Symfony 核心安全组件在检查控制器授权时会做类似的事情......

Answer 1

与其尝试检查每个路由/控制器的访问权限，不如简单地不要为那些无权访问的人显示您的菜单项。创建一个返回用户类型的服务类。

services.yml

app_security.access.manager:
    class: AppBundle\Services\SecurityAccessManager
    arguments: [@security.authorization_checker,@security.token_storage]

SecurityAccessManager.php

<?php


namespace AppBundle\Services;


use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorage;
use Symfony\Component\Security\Core\Authorization\AuthorizationChecker;

class SecurityAccessManager
{
    private $authorizationChecker;
    private $tokenStorage;   

    public function __construct(AuthorizationChecker $authorizationChecker,TokenStorage $tokenStorage)
    {
        $this->authorizationChecker = $authorizationChecker;
        $this->tokenStorage = $tokenStorage;

    }


    public function getUser()
    {
        return $this->tokenStorage->getToken()->getUser();
    }


    public function isAdmin()
    {
        if($this->authorizationChecker->isGranted('ROLE_ADMIN') !== true) {
            return false;
        } else {
            return true;
        }
    }  

}

然后在您的菜单生成器中，您需要注入该类并检查权限：

这是一个带有 KNP 菜单的示例：

app.menu.builder
        class: AppBundle\Menu\MenuBuilder
        arguments: [@knp_menu.factory,@medapp_security.access.manager]

还有菜单生成器

class MenuBuilder extends ContainerAware
{
    /**
     * @var FactoryInterface
     */
    private $factoryInterface; 
    private $securityAccessManager;

   public function __construct(FactoryInterface $factoryInterface, SecurityAccessManager $securityAccessManager)
    {  
        $this->factoryInterface = $factoryInterface;   
        $this->securityAccessManager = $securityAccessManager;

    }

...

$menu->addChild('user link',..);
if ($this->securityAccessManager->isAdmin())     $menu->addChild('admin link',..);

Answer 2

当调用 isGranted() 时，它只使用三个标准 Symfony2 投票者（+自定义投票者，如果你定义了它）：AuthenticatedVoter，ExpressionVoter 和 RoleHierarchyVoter。

AuthenticatedVoter 只检查当前令牌的身份验证级别：IS_AUTHENTICATED_FULLY、IS_AUTHENTICATED_REMEMBERED 或 IS_AUTHENTICATED_ANONYMOUSLY。

所以如果你不使用 Roles，默认只有 AuthenticatedVoter 返回结果。

如果您想为控制器的任何操作定义自定义权限，您可以使用Voters。我认为它最适合您的任务。

然后您可以在任何操作的顶部调用 Voters，如下所示：

public function indexAction()
{
    $this->denyAccessUnlessGranted('permission', $entity);
    // your code
}

但如果你想对应用的整个部分应用安全限制，你可以使用access_control。