Tengo una aplicacion symfony2 con una api rest y un backend de sonataAdmin.
En el archivo security.yml tengo lo siguiente:
security:
encoders:
FOS\UserBundle\Model\UserInterface: bcrypt
role_hierarchy:
ROLE_ADMIN: [ROLE_USER, ROLE_SONATA_ADMIN]
ROLE_SUPER_ADMIN: [ROLE_ADMIN, ROLE_ALLOWED_TO_SWITCH]
SONATA:
- ROLE_SONATA_PAGE_ADMIN_PAGE_EDIT
providers:
fos_userbundle:
id: fos_user.user_manager
firewalls:
dev:
pattern: ^/(_(profiler|wdt)|css|images|js)/
security: false
admin:
pattern: /admin(.*)
context: user
form_login:
provider: fos_userbundle
login_path: /admin/login
use_forward: false
check_path: /admin/login_check
failure_path: null
logout:
path: /admin/logout
anonymous: true
oauth_token:
pattern: ^/oauth/v2/token$
security: false
oauth_authorize:
pattern: ^/oauth/v2/auth$
security: false
# Add your favorite authentication process here
api:
pattern: ^/api(?!/user$)(?!/user/visit/)(?!/doc$) #con este patron todo api menos doc esta protegido
fos_oauth: true
stateless: true
anonymous: false # can be omitted as its default value
main:
pattern: .*
context: user
form_login:
provider: fos_userbundle
login_path: /login
use_forward: false
check_path: /login_check
failure_path: null
logout: true
anonymous: true
access_control:
# url de fosuserbundle que debe ser disponible para usuarios anonimos
- { path: ^/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/register, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/resetting, role: IS_AUTHENTICATED_ANONYMOUSLY }
#url de admin login necesita ser accesible sin credenciales
- { path: ^/admin/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/admin/logout$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/admin/login_check$, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/admin, role: [ROLE_SUPER_ADMIN] }
- { path: ^/.*, role: IS_AUTHENTICATED_ANONYMOUSLY }
- { path: ^/api/doc/.*, role: IS_AUTHENTICATED_ANONYMOUSLY }
# url de api. Debe estar validado siempre.
- { path: ^/api, roles: [ IS_FULLY_AUTHENTICATED ] }
Es decir, entre otras rutas, tengo la siguiente configuración de seguridad:
- rutas
/admin(.*)
protegidas bajo el firewalladmin
- las rutas
^/api(?!/user$)(?!/user/visit/)(?!/doc$)
(todo lo que cuelgue de/api
, menos/api/user
,/api/user/visit
y/api/doc
están protegidos bajooauth2
.
Ahora me han pedido que la documentación de /api
este protegida pero por el admin, de manera que si el usuario no está autentificado, se le dirija a /admin/login
. Si está autentificado se le muestra la doc.
he cambiado el pattern de admin a lo siguiente:
(admin(.*))|(\/api\/doc(.*))
y el patrón de api queda así:
^/api(?!/user$)(?!/user/visit/)
Sin embargo, al acceder por navegador a /api/doc
, si no estoy registrado, aparece la documentación. Se ve que no lanza la seguridad o hay algo que no estoy haciendo bien.
¿Alguien puede sugerirme alguna solución?