
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 Bu serinin   müasir autentifikasiyanın "qızıl standardı"nı: 100% şifrəsiz tətbiqi araşdırdıq. Şifrələri, xəşləri və sıfırlama e-poçtlarını ləğv edərək, onları WebAuthn API-nin kriptoqrafik zərifliyi ilə əvəz etdik. 1-ci hissəsində Ancaq real dünya nadir hallarda belə təmizdir. Şifrə menecerlərinə biomətnlərindən daha çox etibar edən köhnə istifadəçiləriniz var. Hələ də təhlükəsizlik açarlarının standart olmadığı korporativ mühitləriniz var. Ən əsası, "Keçid Dövrü" var – köhnəni dəstəkləmək lazım gəldiyi, eyni zamanda yenisini də aktiv şəkildə təşviq etdiyiniz o yöndəmsiz mərhələ. Bu gün, Hibrid Modelini qururuq. İstifadəçinin Passkey-sinin olub olmadığını avtomatik olaraq aşkarlayan, əgər varsa, biomətnləri işə salan, lakin lazım gələndə ənənəvi şifrəyə zərif şəkildə düşən tək, ağıllı giriş forması yaradacağıq. Həmçinin, İstifadəçinin bir giriş sahəsinə fokuslanmaqla sadəcə daxil olmasına imkan verən "möcüzəvi" istifadəçi təcrübəsi olan Şərti Vasitəçilik (Passkey Autofill) haqqında danışacağıq. Texnoloji Yığcam Bu təlimata əməl etmək üçün sizə lazım olacaq: 
 
 
 
 
  Yalnız oxunan siniflərdən və konstruktor təşviqindən istifadə edir. PHP 8.2+:  Ən son Təhlükəsizlik Komponenti təkmilləşdirmələrindən istifadə edir. Symfony 7.4: : Symfony-də WebAuthn üçün sənaye standartı. web-auth/webauthn-symfony-bundle  Sıfır-Node.js frontend təcrübəsi üçün. Stimulus & AssetMapper: İstifadə Təcrübəsi Masterpiece: Necə İşləyir İstifadəçiləri iki ayrı giriş düyməsi ilə ("Şifrə ilə Daxil ol" vs "Passkey ilə Daxil ol") çaşdırmaq əvəzinə, onlara tək, zərif bir giriş təqdim edirik: E-poçt ünvanları. 
 
 
 
 
 İstifadəçi e-poçtunu daxil edir və "Davam et" düyməsini sıxır. Arxa planda, bizim Symfony 7.4 backend-imiz ildırım sürəti ilə yoxlama aparır.  Biz dərhal yerli WebAuthn biomətn sorğusunu (FaceID, TouchID, Windows Hello) işə salırıq. İstifadəçinin qeydiyyatdan keçmiş Passkey-si varsa:  Forma ənənəvi şifrə giriş sahəsini açmaq üçün zərif şəkildə genişlənir. İstifadəçi şifrəyə güvənirsə: Bu,   və   kimi texnologiya nəhəngləri tərəfindən istifadə edilən dəqiq axındır və bu gün biz bunu tamamilə standart Symfony vasitələri ilə qururuq! Google GitHub Domain Modeli: İki Dünyanı Bir-Birləşdirən Bizim   İstifadəçi vahidimizdə şifrə sahəsi belə yox idi. Hibrid axını dəstəkləmək üçün, onu yenidən təqdim etməliyik, lakin isteğe bağlı bir etimadnamə kimi. Bu, pilləli təhlükəsizlik modelinə imkan verir: istifadəçi sadə şifrə ilə başlaya bilər və daha sonra Passkey-ni qeydiyyatdan keçirərək hesabını "yüksəldə" bilər, bu da nəticədə onların giriş üçün əsas (və ən təhlükəsiz) üsulu halına gəlir. əvvəlki tam şifrəsiz quraşdırmamızda -i tətbiq etməklə, eyni zamanda şifrə sahəsini boş buraxmaqla, biz ənənəvi giriş üçün Symfony-nin təhlükəsizlik tələblərini yerinə yetiririk, lakin hər bir istifadəçini köhnə etimadnaməyə məcbur etmirik. Bu arxitektura seçimi, Passkey-lərin tətbiq üçün gələcəyə uyğun standart olduğunu açıqca bildirərkən geriyə uyğunluğu qorumaq üçün çox vacibdir. PasswordAuthenticatedUserInterface // src/Entity/User.php
namespace App\Entity;

use App\Repository\UserRepository;
use Doctrine\ORM\Mapping as ORM;
use Symfony\Component\Security\Core\User\PasswordAuthenticatedUserInterface;
use Symfony\Component\Security\Core\User\UserInterface;
use Symfony\Component\Uid\Uuid;

#[ORM\Entity(repositoryClass: UserRepository::class)]
#[ORM\Table(name: '`user`')]
class User implements UserInterface, PasswordAuthenticatedUserInterface
{
    #[ORM\Id]
    #[ORM\GeneratedValue]
    #[ORM\Column]
    private ?int $id = null;

    #[ORM\Column(length: 180, unique: true)]
    private ?string $email = null;

    #[ORM\Column(length: 255, unique: true)]
    private ?string $userHandle = null;

    #[ORM\Column(type: 'string', length: 255, nullable: true)]
    private ?string $password = null;

    public function __construct()
    {
        // WebAuthn requires a persistent, non-identifying handle
        $this->userHandle = Uuid::v4()->toRfc4122();
    }

    // ... standard getters/setters

    public function getPassword(): ?string
    {
        return $this->password;
    }

    public function setPassword(?string $password): static
    {
        $this->password = $password;
        return $this;
    }

    public function eraseCredentials(): void
    {
        // Clear temporary sensitive data
    }

    public function getUserIdentifier(): string
    {
        return (string) $this->email;
    }
}
 Arxitektura Seçimi: Axın Aşkarlama Əla hibrid istifadəçi təcrübəsinin əsası Axın Aşkarlamasıdır. İki forma göstərmək istəmirik. Yalnız bir giriş istəyirik: "E-poçtunuzu daxil edin." İstifadəçi "Davam et" düyməsini sıxdıqda, bizim Stimulus nəzarətçimiz növbəti addımı qərarlaşdırmaq üçün yüngül bir API son nöqtəsinə toxunur. Bu, istifadəçilər özlərini təyin etməzdən əvvəl mürəkkəb bir formla qarşılaşdıqları "şifrə sahəsi yorğunluğu"nu qarşısını alır. Vacibdir ki, bu son nöqtə "müəmma ilə təhlükəsizlik" nəzərə alınaraq dizayn edilmişdir. Əgər e-poçt tapılmasa, cavabı şifrə axınına yönəldirik. Bu, zərərli şəxslərin sistemimizdə hansı e-poçtların qeydiyyatdan keçdiyini yoxlamaq üçün API-dən istifadə etməsinin qarşısını alır (istifadəçi sayının artırılması), eyni zamanda qanuni istifadəçilərimiz üçün fərdiləşdirilmiş, mütərəqqi bir UI təmin edir. Axın API // src/Controller/AuthController.php
namespace App\Controller;

use App\Repository\UserRepository;
use App\Repository\PublicKeyCredentialSourceRepository;
use Symfony\Component\HttpFoundation\JsonResponse;
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\Routing\Attribute\Route;

class AuthController extends AbstractController
{
    #[Route('/api/auth/flow', name: 'app_api_auth_flow', methods: ['GET'])]
    public function apiAuthFlow(
        Request $request, 
        UserRepository $userRepo, 
        PublicKeyCredentialSourceRepository $credsRepo
    ): JsonResponse {
        $email = $request->query->get('email');
        $user = $userRepo->findOneBy(['email' => $email]);

        if (!$user) {
            // Treat non-existent users as password users to prevent enumeration
            return new JsonResponse(['flow' => 'password']);
        }

        $hasPasskeys = count($credsRepo->findAllForUserEntity($user->toWebauthnUser())) > 0;

        return new JsonResponse([
            'flow' => $hasPasskeys ? 'passkey' : 'password'
        ]);
    }
}
 Təhlükəsizlik Mühafizəsi: HibridAuthenticator    idarə etsə də, ənənəvi şifrə ehtiyatı üçün bir yola ehtiyacımız var. Daxili form_login-dən istifadə etmək əvəzinə, xüsusi   tətbiq edirik. Bu, müxtəlif etimadnamə növlərini ( ) vahid autentifikasiya hadisəsi çərçivəsində ayrı "nişanlar" kimi qəbul etməyə imkan verir, müasir Symfony 7.4 Təhlükəsizlik komponenti ilə daha təmiz inteqrasiya təmin edir. webauthn-symfony-bundle Passkey təsdiqləməsini avtomatik olaraq HybridAuthenticator Passkey-lər vs Şifrələr Xüsusi autentifikator istifadə etməklə, biz həmçinin hər iki autentifikasiya üsulunun dəqiq eyni uğur və uğursuzluq idarəçilərini paylaşmasını təmin edə bilərik. Bu o deməkdir ki, yönləndirilmiş dashboard URL-ləri, flaş mesajlar və təhlükəsizlik jurnalları bütün tətbiq boyunca, istifadəçinin barmaq izini yoxsa 20 simvollu şifrəsini istifadə etməsindən asılı olmayaraq vahiddir. // src/Security/HybridAuthenticator.php
namespace App\Security;

use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Exception\AuthenticationException;
use Symfony\Component\Security\Http\Authenticator\AbstractAuthenticator;
use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge;
use Symfony\Component\Security\Http\Authenticator\Passport\Credentials\PasswordCredentials;
use Symfony\Component\Security\Http\Authenticator\Passport\Passport;

class HybridAuthenticator extends AbstractAuthenticator
{
    public function __construct(
        private readonly AuthenticationSuccessHandler $successHandler,
        private readonly AuthenticationFailureHandler $failureHandler
    ) {}

    public function supports(Request $request): ?bool
    {
        // Only intercept standard POST login attempts with a password
        return $request->isMethod('POST') 
            && $request->getPathInfo() === '/login' 
            && $request->request->has('password');
    }

    public function authenticate(Request $request): Passport
    {
        $email = $request->request->getString('username');
        $password = $request->request->getString('password');

        return new Passport(
            new UserBadge($email),
            new PasswordCredentials($password)
        );
    }

    public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $firewall): ?Response
    {
        return $this->successHandler->onAuthenticationSuccess($request, $token);
    }

    public function onAuthenticationFailure(Request $request, AuthenticationException $exception): ?Response
    {
        return $this->failureHandler->onAuthenticationFailure($request, $exception);
    }
}
 Symfony 7.4-ün autentifikator sistemi inanılmaz dərəcədə çevikdir. Bizim  -i eyni firewall-da həm form loginlərini (şifrələr), həm də WebAuthn təsdiqlərini qəbul etmək üçün konfiqurasiya edə bilərik! security.yaml security:
    password_hashers:
        App\Entity\User: 'auto'
    providers:
        app_user_provider:
            entity:
                class: App\Entity\User
                property: email
    firewalls:
        dev:
            pattern: ^/(_(profiler|wdt)|css|images|js)/
            security: false
        main:
            lazy: true
            provider: app_user_provider

            custom_authenticator: App\Security\HybridAuthenticator

            webauthn:
                authentication:
                    routes:
                        options_path: /login/passkey/options
                        result_path: /login/passkey/result
                registration:
                    enabled: true
                    routes:
                        options_path: /register/passkey/options
                        result_path: /register/passkey/result
                success_handler: App\Security\AuthenticationSuccessHandler
                failure_handler: App\Security\AuthenticationFailureHandler

            logout:
                path: app_logout
    access_control:
        - { path: ^/dashboard, roles: ROLE_USER }
 Frontend Magic: Şərti Vasitəçilik (Autofill) Bu, tətbiqin həqiqətən müasir hiss olunmağa başladığı yerdir. Şərti Vasitəçilik brauzerin istifadəçi e-poçt sahəsinə fokuslandığı anda Passkey təklifini göstərməsinə imkan verir. Bu "sıfır səy" giriş, bir çox istifadəçi üçün giriş prosesinin brauzer pop-up-da adlarına bir toxunuş, ardından biomətn skanı olacağı deməkdir. Bunu əldə etmək üçün HTML-imizdə   atributundan istifadə edirik. Bu, brauzerin etimadnamə menecerinə birbaşa siqnal kimi xidmət edir. JavaScript tərəfində, Stimulus connect() metodu, səhifə brauzerin istifadəçi seçimini gözləyərkən interaktiv qalmasına imkan verərək, bu avtomatik doldurma təklifləri üçün fon "dinləməsini" başlamaq üçün mükəmməl bir yerdir. autocomplete=”username webauthn” Şablon Girişimizə   əlavə etməliyik. Bu, brauzer üçün siqnaldır. autocomplete=”username webauthn” {# templates/app/login.html.twig #}
<form data-controller="hybrid-login" data-action="submit->hybrid-login#submit">
    <input type="email" 
           name="username" 
           autocomplete="username webauthn"
           data-hybrid-login-target="email" 
           placeholder="Enter your email">
    
    <div data-hybrid-login-target="passwordContainer" class="d-none">
        <input type="password" name="password" data-hybrid-login-target="password">
    </div>

    <button type="submit" data-hybrid-login-target="continueButton">Continue</button>
</form>
 Stimulus Controller Bizim   metodumuzda, brauzerin avtomatik doldurmanı dəstəkləyib-dəstəkləmədiyini yoxlayırıq. Əgər dəstəkləyirsə,  . connect() WebAuthn mərasimini dərhal fonda başlayırıq // assets/controllers/hybrid_login_controller.js
import { Controller } from '@hotwired/stimulus';
import { startAuthentication, browserSupportsWebAuthnAutofill } from '@simplewebauthn/browser';

export default class extends Controller {
    async connect() {
        if (await browserSupportsWebAuthnAutofill()) {
            try {
                // Background listen for autofill
                const credential = await startAuthentication({
                    optionsJSON: await this.fetchOptions(),
                    useBrowserAutofill: true
                });
                await this.verifyResult(credential);
            } catch (e) {
                // Silent catch: user might just type manually
            }
        }
    }

    async submit(event) {
        event.preventDefault();
        const email = this.emailTarget.value;
        
        // 1. Check Flow
        const { flow } = await fetch(`/api/auth/flow?email=${email}`).then(r => r.json());

        if (flow === 'passkey') {
            await this.triggerPasskeyLogin(email);
        } else {
            this.showPasswordInput();
        }
    }
}
 "Yüksəltmə" Yolu: Dashboard-dan Passkey-lər Əlavə Etmək Passkey-lərlə ən böyük çətinlik kod deyil; bu, qəbuldur. İstifadəçilərinizə mövcud şifrə hesablarına biomətn əlavə etmək üçün bir səbəb və bir yol verməlisiniz. Biz, tam yenidən qeydiyyatdan keçmə təzyiqi olmadan, artıq daxil olmuş istifadəçilərin şifrə əsaslı keçmişləri ilə biomətn gələcəkləri arasındakı boşluğu təhlükəsiz şəkildə doldurmağa imkan verən xüsusi   tətbiq etmişik. PasskeySettingsController Bu axının əsas hissəsi  -dən istifadədir. İstifadəçinin mövcud etimadnamə ID-lərini bu proses zamanı brauzerə ötürərək, istifadəçinin eyni cihazda təkrarlanan Passkey yaratmağa təşviq edilmədiyini təmin edirik. Bu, "etimadnamə yığımı"nın qarşısını alır və istifadəçinin dashboard-unun yalnız unikal, funksional təhlükəsizlik açarlarını göstərməsini təmin edir, təcrübəni təmiz və idarə oluna bilən saxlayır. excludeCredentials // src/Controller/PasskeySettingsController.php
#[Route('/dashboard/passkey/options', methods: ['POST'])]
public function options(): JsonResponse
{
    $user = $this->getUser();
    $userEntity = new PublicKeyCredentialUserEntity(
        $user->getEmail(),
        $user->getUserHandle(),
        $user->getEmail()
    );

    // Exclude existing keys so the browser doesn't offer duplicates
    $excludeDescriptors = array_map(
        fn ($source) => new PublicKeyCredentialDescriptor('public-key', $source->publicKeyCredentialId),
        $this->credsRepo->findAllForUserEntity($userEntity)
    );

    $options = $this->optionsFactory->create('default', $userEntity, $excludeDescriptors);
    $this->optionsStorage->store(Item::create($options, $userEntity));

    return new JsonResponse($this->serializer->serialize($options, 'json'), 200, [], true);
}
 Texniki Çətinliklər & Təsdiqləmə İkili Data Və JSON WebAuthn development-ində ən çox rast gəlinən məsələlərdən biri kodlaşdırmadır. Etimadnamə ID-ləri və çağırışlar xam ikili məlumatdır ki, standart json_encode onları idarə edə bilmir. Biz base64url standartından istifadə etməliyik ki, bu da URL-lərdə və JSON-da + və ya / simvolları olmadan URL-lərdə və JSON-da təhlükəsiz daşınma üçün xüsusi olaraq hazırlanmışdır. Büglün xüsusi serializatorundan istifadə etmək bu çevrilmənin düzgün və ardıcıl şəkildə baş verməsini təmin edir. Təsdiqləmə Addımları 
 
 
 
 
  Əsas "köhnə dünya" istifadəçinizi yaratmaq üçün köhnə /register/password marşrutu vasitəsilə hesab yaradın. Şifrə Qeydiyyatı:  /login-ə gedin və e-poçtu daxil edin. Sistem istifadəçini yalnız şifrəli istifadəçi kimi düzgün müəyyən etməli və şifrə sahəsini açmalıdır. Hibrid Giriş: Şifrənizlə daxil olun, Dashboard-a gedin və hesabı biomətn dünyasına köçürmək üçün "Passkey əlavə et" düyməsini sıxın. Yüksəltmə: Çıxış edin. E-poçt sahəsinə klikləyin. Brauzeriniz indi dərhal Passkey təklifini təklif etməli, hibrid təcrübənin dairəsini tamamlamalıdır. Avtomatik doldurma: Yekun Symfony 7.4-də hibrid autentifikasiya modelinin tətbiqi, kənar təhlükəsizlik və praktik əlçatanlıq arasında mürəkkəb bir tarazlığı təmsil edir. Həm köhnə şifrə vərdişlərini, həm də biomətnlərə doğru hərəkəti hörmətlə qarşılayan vahid bir interfeys təmin etməklə, yeni xüsusiyyətlərin qəbulunu tez-tez öldürən sürtünməni aradan qaldırırsınız. Bu yanaşma təhlükəsizliyi təkmilləşdirməklə kifayətlənmir; istifadəçilərinizi olduqları yerdə qarşılayaraq, onlara daha yaxşı, daha sürətli bir yol göstərərək onlarla etimad qurur. Texniki olaraq, Symfony-nin müasir Təhlükəsizlik komponenti və WebAuthn paketi bu mürəkkəb axınlar üçün inanılmaz dərəcədə möhkəm bir təməl təmin etdiyini gördük. Şifrələri və passkey-ləri eyni ekosistem çərçivəsində tamamlayıcı nişanlar kimi qəbul etmək imkanı, bir developer olaraq, xüsusi məntiqi tətbiq etmək üçün framework ilə mübarizə aparmadığınız deməkdir. Əvəzində, saxlanılan qədər təhlükəsiz bir sistem qurmaq üçün standart, bir-biri ilə əlaqəli primitivlərdən istifadə edirsiniz. Gələcəyə baxış, autentifikasiyanın görünməz hala gələcək qədər sürtünməsiz bir veb hədəfidir. Şərti Vasitəçilik və hibrid ehtiyatlar vasitəsilə biz bu reallığa yaxınlaşırıq, burada təhlükəsizlik yükü istifadəçinin yaddaşından cibindəki avadanlığa keçir. Bu nümunələri bu gün qəbul edərək, siz tətbiqinizi gələcəyə uyğunlaşdırırsınız və istifadəçilərinizin gözlədikləri rahatlıqdan imtina etmədən rəqəmsal təhlükəsizliyin ən yüksək standartlarından faydalanmasını təmin edirsiniz.  Tam implementasiyanı tapa bilərsiniz və layihənin gedişatını GitHub-da izləyə bilərsiniz: [ ] Mənbə Kodu: https://github.com/mattleads/PasskeysAuth Əlaqə Quraq! Bunu faydalı hesab etdinizsə və ya implementasiya haqqında suallarınız varsa, sizinlə eşitməyə şad olardım. Əlaqədə qalaq və bu platformalar vasitəsilə söhbəti davam etdirək: 
 
 
 
 
 LinkedIn: [ ] https://www.linkedin.com/in/matthew-mochalkin/ X (Twitter): [ ] https://x.com/MattLeads Telegram: [ ] https://t.me/MattLeads GitHub: [ ] https://github.com/mattleads

Read My Stories

Bu audio hekayənin orijinal dilində hazırlanmışdır!

Symfony 7.4-də Hibrid Açarsız Strategiya Necə Qurulur: Şifrəsiz Qaladan Kənara YolTapmaq

About Author

ŞƏRHLƏR

ETİKET ASIN

BU MƏQALƏ TƏQDİM EDİLMİŞDİR

Related Stories

How Azarus's Technology is Transforming Viewer Engagement on Stream

Optimizing Operations for Real Estate Investors - Interview with Startups of the Year Nominee, Azibo

Women in Tech: Azize Sultan Shares Her Inspiring Journey from Architecture to Tech Leadership

How Azarus's Technology is Transforming Viewer Engagement on Stream

Optimizing Operations for Real Estate Investors - Interview with Startups of the Year Nominee, Azibo

Women in Tech: Azize Sultan Shares Her Inspiring Journey from Architecture to Tech Leadership

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps