3

Tengo una aplicacion symfony2 con una api rest y un backend de sonataAdmin.

En el archivo security.yml tengo lo siguiente:

security:
    encoders:
        FOS\UserBundle\Model\UserInterface: bcrypt

    role_hierarchy:
        ROLE_ADMIN:  [ROLE_USER, ROLE_SONATA_ADMIN]
        ROLE_SUPER_ADMIN: [ROLE_ADMIN, ROLE_ALLOWED_TO_SWITCH]
        SONATA:
            - ROLE_SONATA_PAGE_ADMIN_PAGE_EDIT

    providers:
        fos_userbundle:
            id: fos_user.user_manager

    firewalls:
        dev:
            pattern: ^/(_(profiler|wdt)|css|images|js)/
            security: false

        admin:
            pattern:  /admin(.*)
            context:  user
            form_login:
                provider: fos_userbundle
                login_path: /admin/login
                use_forward: false
                check_path: /admin/login_check
                failure_path: null
            logout:
                path:    /admin/logout
            anonymous: true

        oauth_token:
            pattern:    ^/oauth/v2/token$
            security:   false

        oauth_authorize:
            pattern:    ^/oauth/v2/auth$
            security:    false
            # Add your favorite authentication process here

        api:
            pattern:    ^/api(?!/user$)(?!/user/visit/)(?!/doc$) #con este patron todo api menos doc esta protegido
            fos_oauth:  true
            stateless:  true
            anonymous:  false # can be omitted as its default value

        main:
            pattern: .*
            context: user
            form_login:
                provider: fos_userbundle
                login_path: /login
                use_forward: false
                check_path: /login_check
                failure_path: null
            logout:  true
            anonymous: true

access_control:
    # url de fosuserbundle que debe ser disponible para usuarios anonimos
    - { path: ^/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/register, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/resetting, role: IS_AUTHENTICATED_ANONYMOUSLY }
    #url de admin login necesita ser accesible sin credenciales
    - { path: ^/admin/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/admin/logout$, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/admin/login_check$, role: IS_AUTHENTICATED_ANONYMOUSLY }

    - { path: ^/admin, role: [ROLE_SUPER_ADMIN] }
    - { path: ^/.*, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/api/doc/.*, role: IS_AUTHENTICATED_ANONYMOUSLY }

    # url de api. Debe estar validado siempre.
    - { path: ^/api, roles: [ IS_FULLY_AUTHENTICATED ] }

Es decir, entre otras rutas, tengo la siguiente configuración de seguridad:

  • rutas /admin(.*) protegidas bajo el firewall admin
  • las rutas ^/api(?!/user$)(?!/user/visit/)(?!/doc$) (todo lo que cuelgue de /api, menos /api/user, /api/user/visit y /api/doc están protegidos bajo oauth2.

Ahora me han pedido que la documentación de /api este protegida pero por el admin, de manera que si el usuario no está autentificado, se le dirija a /admin/login. Si está autentificado se le muestra la doc.

he cambiado el pattern de admin a lo siguiente:

(admin(.*))|(\/api\/doc(.*))

y el patrón de api queda así:

^/api(?!/user$)(?!/user/visit/)

Sin embargo, al acceder por navegador a /api/doc, si no estoy registrado, aparece la documentación. Se ve que no lanza la seguridad o hay algo que no estoy haciendo bien.

¿Alguien puede sugerirme alguna solución?

1 respuesta 1

3

Una de las primeras cosas que se menciona en la documentación es que:

se utiliza la primera regla que coincida.

En tu access_control, el regex ^/* coincide con cualquier ruta, por lo que todo lo que esté abajo de esta línea es irrelevante:

    - { path: ^/.*, role: IS_AUTHENTICATED_ANONYMOUSLY }

Deberías moverla al final.


Además, supongo que para /api/doc debería ser ROLE_SUPER_ADMIN (verificar qué rol debería ser).

    - { path: ^/api/doc/.*, role: [ROLE_SUPER_ADMIN] }


Otras cosas a tener en cuenta

  • Importante Todas tus expresiones deberían empezar con ^. Un ^ coincide con el inicio de la ruta. Si se omite, expresiones como /admin(.*) pueden coincidir con rutas como /blah/administracion-de-bienes


  • (admin(.*))|(\/api\/doc(.*)) debería ser ^/(admin|api/doc)
1
  • 1
    Muchas gracias!!! llevaba dándole vueltas al tema de la expresión y me habia olvidado por completo del access_control (fallo mio). Por otra parte, es verdad que tengo algunas rutas sin el ^, (otras si que las tengo). Voy a ponerlas como seria correcto.
    – Jakala
    Commented el 18 may. 2017 a las 9:07

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.