問題タブ [symfony-security]

Symfony 2.7 に基づいた Web ページを実行しています。このページは、FOSUserBundleユーザー管理と認証に を使用します。

ログ ファイルを見ると、ブルート フォース スキャナーによってページが頻繁に「攻撃」されていることがわかります。

スキャンには次の 2 種類があります。

1. 既知の脆弱性 (WordPress ファイルなど) を検索してHTTP 404応答を返す
2. デフォルトのユーザー認証情報を使用したログイン試行

私は以前にWordPressを使用していました。このような攻撃を自動的に認識して処理するためのプラグインとツールが多数存在します。404 要求または拒否されたログイン試行が特定のしきい値に達すると、ユーザー/IP はしばらくの間自動的にブロックされます。通常、数分後にユーザー/IP はブロック リストから自動的に削除されます。

Symfony でそのような解決策を見つけることができませんでした。これらの機能を Symfony に統合するバンドルはありますか?

もちろん、これを自分で機能的に実装することはそれほど難しくありません。しかし、すでにあるものを再発明しても意味がありません。

次のコードは、ログイン ユーザーを自動的に強制し、正常に動作します。私は私を覚えている機能を追加したい。したがって、ログインユーザーを強制してから、 remember meを追加すると、次回は自動的にサイトにログインします。

/admin にアクセスするとき、またはログイン フォームを使用して、管理者に接続したいと考えています。

ROLE_ADMIN にアクセスできません。

(ROLE_USER については問題ありませんが、管理者にとって何かが足りないのではないでしょうか?)

security.yml ファイルがあります:

安全：

SecurityController.php ファイルがあります:

そして、これは login.htm.twig ファイルです:

すでにメイン ドメインにログインしています。example.comと言います(従来の kohana で開発されたアプリ)。foo.bar.example.comなどのサブドメインにログインしようとしています。

foo.example.com は symfony アプリです。以下は私の構成です。Dev ツールバーに「匿名」ユーザーが表示されます。Cookie のセッション ID からユーザーをログインしません。

security.yml

構成.yml

少なくとも 1 つの認証プロバイダーを構成する必要がありますか? または、remember me のように機能するカスタム認証プロバイダーを作成する必要がありますか?

Symfony\Component\Security\Http\Firewall\AbstractAuthenticationListener->ハンドル

もっている

そしてリクエストは

こんにちは皆さん、symfony でユーザーとユーザーの役割とその仕組みについてのロジックを理解しようとしています。symfony の初心者で、このチュートリアルに従います: http://symfony.com/doc/current/security/entity_provider.html

私のプロジェクトではすべてが完璧に機能しますが、データベースを見ると、userテーブルとすべてのユーザーがテーブル内のデータのように登録されています。

しかし、ユーザー ロールのテーブルはどこにありますか? symfony が誰で誰が誰であるかを知るROLE_ADMIN方法ROLE_MODERATOR。すべてのユーザーに特定のロールを実装し、そのロールをデータベースに保存して、後で管理パネルから変更できるようにするにはどうすればよいですか? ACLかな？

access_controlの下に自分のブロックがあるとしましょうsecurity.yml:

この場合、誰もがページに入ることができhomepageますreset-password。しかし、匿名で認証されたユーザーにのみこれらのページを許可したいと思います。完全に認証されたユーザーは、403 access denied errorまたはを取得する必要があり404 page not foundます。

ドキュメントによると、allow_ifI should be ablo to create role expressions to define access. しかし、私がこのようにすると：

現在、完全に認証されたユーザー (ログイン済み) はページへのアクセスを許可されるべきではなく、匿名で認証されたユーザーはアクセスできるはずですが、残念ながら、どのユーザーもアクセスできません...

私が見逃しているアイデアはありますか？

アップデート

これにより、正解によって次のように機能するようになりました。

ログインしたユーザーが特定のオブジェクトを編集できるかどうかを判断するために投票者を使用しています。基準の 1 つは別のオブジェクトとの比較を必要としますが、これをボーターに渡す方法がわかりません。事前定義された値ではないため、コンストラクターの引数を使用できません。

基本的に私はこのようなことをしたいと思います：

どんな助けでも大歓迎です。