Tengo una aplicacion symfony2 con una api rest y un backend de sonataAdmin.
en el archivo security.yml tengo lo siguiente:
security:
encoders:
FOS\UserBundle\Model\UserInterface: bcrypt
role_hierarchy:
ROLE_ADMIN: [ROLE_USER, ROLE_SONATA_ADMIN]
ROLE_SUPER_ADMIN: [ROLE_ADMIN, ROLE_ALLOWED_TO_SWITCH]
SONATA:
- ROLE_SONATA_PAGE_ADMIN_PAGE_EDIT
providers:
fos_userbundle:
id: fos_user.user_manager
firewalls:
dev:
pattern: ^/(_(profiler|wdt)|css|images|js)/
security: false
admin:
pattern: /admin(.*)
context: user
form_login:
provider: fos_userbundle
login_path: /admin/login
use_forward: false
check_path: /admin/login_check
failure_path: null
logout:
path: /admin/logout
anonymous: true
oauth_token:
pattern: ^/oauth/v2/token$
security: false
oauth_authorize:
pattern: ^/oauth/v2/auth$
security: false
# Add your favorite authentication process here
api:
pattern: ^/api(?!/user$)(?!/user/visit/)(?!/doc$) #con este patron todo api menos doc esta protegido
fos_oauth: true
stateless: true
anonymous: false # can be omitted as its default value
main:
pattern: .*
context: user
form_login:
provider: fos_userbundle
login_path: /login
use_forward: false
check_path: /login_check
failure_path: null
logout: true
anonymous: true
access_control:
# url de fosuserbundle que debe ser disponible para usuarios anonimos
- { path: ^/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/register, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/resetting, role: IS_AUTHENTICATED_ANONYMOUSLY }
#url de admin login necesita ser accesible sin credenciales
- { path: ^/admin/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/admin/logout$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/admin/login_check$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/admin, role: [ROLE_SUPER_ADMIN] }
- { path: ^/.*, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/api/doc/.*, role: IS_AUTHENTICATED_ANONYMOUSLY }
# url de api. Debe estar validado siempre.
- { path: ^/api, roles: [ IS_FULLY_AUTHENTICATED ] }
es decir, entre otras rutas, tengo la siguiente configuracion de seguridad:
- rutas /admin(.*) protegidas bajo el firewall admin
- las rutas ^/api(?!/user$)(?!/user/visit/)(?!/doc$) (todo lo que cuelgue de api, menos /api/user, /api/user/visit y /api/doc estan protegidos bajo oauth2.
ahora me han pedido que la documentacion de api este protegida pero por el admin, de manera que si el usuario no esta autentificado, se le dirija a /admin/login. Si esta autentificado se le muestra la doc.
he cambiado el pattern de admin a lo siguiente:
(admin(.))|(/api/doc(.))
y el patron de api queda asi:
^/api(?!/user$)(?!/user/visit/)
sin embargo, al acceder por navegador a /api/doc, si no estoy registrado, aparece la documentacion. se ve que no lanza la seguridad o hay algo que no estoy haciendo bien.
Alguien puede sugerirme alguna solucion?