Skip to main content
se añadieron 21 caracteres en el cuerpo; etiquetas editadas
Origen Enlace
Mariano
  • 24.5k
  • 20
  • 76
  • 105

Symfony securizar Asegurar rutas bajo mismo firewall

enEn el archivo security.yml tengo lo siguiente:

esEs decir, entre otras rutas, tengo la siguiente configuracionconfiguración de seguridad:

  • rutas /admin(.*)/admin(.*) protegidas bajo el firewall adminadmin
  • las rutas ^/api(?!/user$)(?!/user/visit/)(?!/doc$)^/api(?!/user$)(?!/user/visit/)(?!/doc$) (todo lo que cuelgue de api/api, menos /api/user/api/user, /api/user/visit/api/user/visit y /api/doc estan/api/doc están protegidos bajo oauth2oauth2.

ahoraAhora me han pedido que la documentaciondocumentación de api/api este protegida pero por el admin, de manera que si el usuario no estaestá autentificado, se le dirija a /admin/login/admin/login. Si estaestá autentificado se le muestra la doc.

(admin(.))|(/api/doc(.))

(admin(.*))|(\/api\/doc(.*))

y el patronpatrón de api queda asiasí:

^/api(?!/user$)(?!/user/visit/)

^/api(?!/user$)(?!/user/visit/)

sinSin embargo, al acceder por navegador a /api/doc/api/doc, si no estoy registrado, aparece la documentaciondocumentación. seSe ve que no lanza la seguridad o hay algo que no estoy haciendo bien.

Alguien¿Alguien puede sugerirme alguna solucionsolución?

Symfony securizar rutas bajo mismo firewall

en el archivo security.yml tengo lo siguiente:

es decir, entre otras rutas, tengo la siguiente configuracion de seguridad:

  • rutas /admin(.*) protegidas bajo el firewall admin
  • las rutas ^/api(?!/user$)(?!/user/visit/)(?!/doc$) (todo lo que cuelgue de api, menos /api/user, /api/user/visit y /api/doc estan protegidos bajo oauth2.

ahora me han pedido que la documentacion de api este protegida pero por el admin, de manera que si el usuario no esta autentificado, se le dirija a /admin/login. Si esta autentificado se le muestra la doc.

(admin(.))|(/api/doc(.))

y el patron de api queda asi:

^/api(?!/user$)(?!/user/visit/)

sin embargo, al acceder por navegador a /api/doc, si no estoy registrado, aparece la documentacion. se ve que no lanza la seguridad o hay algo que no estoy haciendo bien.

Alguien puede sugerirme alguna solucion?

Asegurar rutas bajo mismo firewall

En el archivo security.yml tengo lo siguiente:

Es decir, entre otras rutas, tengo la siguiente configuración de seguridad:

  • rutas /admin(.*) protegidas bajo el firewall admin
  • las rutas ^/api(?!/user$)(?!/user/visit/)(?!/doc$) (todo lo que cuelgue de /api, menos /api/user, /api/user/visit y /api/doc están protegidos bajo oauth2.

Ahora me han pedido que la documentación de /api este protegida pero por el admin, de manera que si el usuario no está autentificado, se le dirija a /admin/login. Si está autentificado se le muestra la doc.

(admin(.*))|(\/api\/doc(.*))

y el patrón de api queda así:

^/api(?!/user$)(?!/user/visit/)

Sin embargo, al acceder por navegador a /api/doc, si no estoy registrado, aparece la documentación. Se ve que no lanza la seguridad o hay algo que no estoy haciendo bien.

¿Alguien puede sugerirme alguna solución?

Origen Enlace
Jakala
  • 4.1k
  • 1
  • 14
  • 20

Symfony securizar rutas bajo mismo firewall

Tengo una aplicacion symfony2 con una api rest y un backend de sonataAdmin.

en el archivo security.yml tengo lo siguiente:

security:
    encoders:
        FOS\UserBundle\Model\UserInterface: bcrypt

    role_hierarchy:
        ROLE_ADMIN:  [ROLE_USER, ROLE_SONATA_ADMIN]
        ROLE_SUPER_ADMIN: [ROLE_ADMIN, ROLE_ALLOWED_TO_SWITCH]
        SONATA:
            - ROLE_SONATA_PAGE_ADMIN_PAGE_EDIT

    providers:
        fos_userbundle:
            id: fos_user.user_manager

    firewalls:
        dev:
            pattern: ^/(_(profiler|wdt)|css|images|js)/
            security: false

        admin:
            pattern:  /admin(.*)
            context:  user
            form_login:
                provider: fos_userbundle
                login_path: /admin/login
                use_forward: false
                check_path: /admin/login_check
                failure_path: null
            logout:
                path:    /admin/logout
            anonymous: true

        oauth_token:
            pattern:    ^/oauth/v2/token$
            security:   false

        oauth_authorize:
            pattern:    ^/oauth/v2/auth$
            security:    false
            # Add your favorite authentication process here

        api:
            pattern:    ^/api(?!/user$)(?!/user/visit/)(?!/doc$) #con este patron todo api menos doc esta protegido
            fos_oauth:  true
            stateless:  true
            anonymous:  false # can be omitted as its default value

        main:
            pattern: .*
            context: user
            form_login:
                provider: fos_userbundle
                login_path: /login
                use_forward: false
                check_path: /login_check
                failure_path: null
            logout:  true
            anonymous: true

access_control:
    # url de fosuserbundle que debe ser disponible para usuarios anonimos
    - { path: ^/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/register, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/resetting, role: IS_AUTHENTICATED_ANONYMOUSLY }
    #url de admin login necesita ser accesible sin credenciales
    - { path: ^/admin/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/admin/logout$, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/admin/login_check$, role: IS_AUTHENTICATED_ANONYMOUSLY }

    - { path: ^/admin, role: [ROLE_SUPER_ADMIN] }
    - { path: ^/.*, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/api/doc/.*, role: IS_AUTHENTICATED_ANONYMOUSLY }

    # url de api. Debe estar validado siempre.
    - { path: ^/api, roles: [ IS_FULLY_AUTHENTICATED ] }

es decir, entre otras rutas, tengo la siguiente configuracion de seguridad:

  • rutas /admin(.*) protegidas bajo el firewall admin
  • las rutas ^/api(?!/user$)(?!/user/visit/)(?!/doc$) (todo lo que cuelgue de api, menos /api/user, /api/user/visit y /api/doc estan protegidos bajo oauth2.

ahora me han pedido que la documentacion de api este protegida pero por el admin, de manera que si el usuario no esta autentificado, se le dirija a /admin/login. Si esta autentificado se le muestra la doc.

he cambiado el pattern de admin a lo siguiente:

(admin(.))|(/api/doc(.))

y el patron de api queda asi:

^/api(?!/user$)(?!/user/visit/)

sin embargo, al acceder por navegador a /api/doc, si no estoy registrado, aparece la documentacion. se ve que no lanza la seguridad o hay algo que no estoy haciendo bien.

Alguien puede sugerirme alguna solucion?