Passkeys в Symfony 7.4: Как да се изгради напълно без парола бъдеще

В съвременната интернет ера, паролите вече не са достатъчни.Те са основната причина за над 80% от нарушенията на данните, предмет на фишинг, повторна употреба и ужасни правила за сложност. Passkeys are the future. Паскал, създаден на базата на уеб аутентификация ( ) и Вашите устройства (iPhone, Android, Windows Hello, YubiKey) съхраняват частен ключ, докато сървърът вижда само публичния ключ. WebAuthn FIDO2 В това цялостно ръководство ние Използвайки Symfony и официалния Ние ще премахнем концепцията за парола изцяло от нашето приложение. Няма обратна връзка, няма връзки "ресетиране на паролата". will build a 100% passwordless authentication system web-auth/webauthn-symfony-bundle Основна архитектура и изисквания Passkeys работи чрез замяна на споделена тайна (парола) с двойка публични/частни ключове. частният ключ никога не напуска устройството на потребителя Apple (iPhone, Mac, iPad), а публичният ключ се съхранява на вашия сървър Symfony. Технически стак PHP: 8.2 или по-висока (необходимо за най-новите WebAuthn libs) Симфония: 7.4 LTS База данни: PostgreSQL, MySQL или SQLite за dev (за съхранение на източници на поверителност) Основна библиотека: web-auth/webauthn-symfony-bundle Важни пакети Изпълнете следната команда, за да инсталирате необходимите зависимости: composer require web-auth/webauthn-symfony-bundle:^5.2 \ web-auth/webauthn-stimulus:^5.2 \ symfony/uid:^7.4 Ние използваме чрез AssetMapper (което осигурява отлични функции за опаковане за native браузъра WebAuthn API), защото Apple Passkeys изисква предно взаимодействие, което се управлява най-добре чрез в съвременна среда на Symfony, или можете да използвате модули React/Vue. Браузър / Браузър Stimulus controller Браузър / Браузър Схема на базата данни: източникът на доверието Това е мястото, където нашето приложение драстично се отклонява от традиционното приложение Symfony. Стандартните потребителски субекти на Symfony не са оборудвани за съхранение на Passkey метаданни (като AAGUIDs или алгоритми с публичен ключ Cose). Потребителската единица Нашият Предприятието изпълнява Забележително отсъстващ е . User Symfony\Component\Security\Core\User\UserInterface PasswordAuthenticatedUserInterface namespace App\Entity; use App\Repository\UserRepository; use Doctrine\ORM\Mapping as ORM; use Symfony\Component\Security\Core\User\UserInterface; use Symfony\Component\Uid\Uuid; use Symfony\Component\Validator\Constraints as Assert; #[ORM\Entity(repositoryClass: UserRepository::class)] #[ORM\Table(name: '`user`')] class User implements UserInterface { #[ORM\Id] #[ORM\GeneratedValue] #[ORM\Column] private ?int $id = null; #[ORM\Column(length: 255, unique: true)] private ?string $userHandle = null; #[ORM\Column(length: 180, unique: true)] #[Assert\NotBlank] #[Assert\Email] private ?string $email = null; public function __construct() { $this->userHandle = Uuid::v4()->toRfc4122(); } ... } Публичен ключCredentialSource Entity Един потребител може да има няколко папки (например Face ID на телефона си, Touch ID на Mac, YubiKey на ключовата верига). Създаване Тази единица трябва да е в състояние да превежда към и от native на пакета. на обекта. src/Entity/PublicKeyCredentialSource.php Webauthn\PublicKeyCredentialSource Най-важното е да запазим Невъзможността да направите това унищожава данните за удостоверяване, необходими, ако някога се нуждаете от високосигурни корпоративни хардуерни ключове. TrustPath namespace App\Entity; use App\Repository\PublicKeyCredentialSourceRepository; use Doctrine\ORM\Mapping as ORM; use Webauthn\PublicKeyCredentialSource as WebauthnSource; #[ORM\Entity(repositoryClass: PublicKeyCredentialSourceRepository::class)] #[ORM\Table(name: 'webauthn_credentials')] class PublicKeyCredentialSource extends WebauthnSource { #[ORM\Id] #[ORM\GeneratedValue] #[ORM\Column] private ?int $id = null; public function getId(): ?int { return $this->id; } } на CredentialSourceRepository Също така трябва да се прилагат а Тези изпълнения . CredentialSourceRepository Webauthn\Bundle\Repository\PublicKeyCredentialSourceRepository namespace App\Repository; use App\Entity\PublicKeyCredentialSource; use Doctrine\Bundle\DoctrineBundle\Repository\ServiceEntityRepository; use Doctrine\Persistence\ManagerRegistry; use Symfony\Component\ObjectMapper\ObjectMapperInterface; use Webauthn\Bundle\Repository\PublicKeyCredentialSourceRepositoryInterface; use Webauthn\Bundle\Repository\CanSaveCredentialSource; use Webauthn\PublicKeyCredentialSource as WebauthnSource; use Webauthn\PublicKeyCredentialUserEntity; class PublicKeyCredentialSourceRepository extends ServiceEntityRepository implements PublicKeyCredentialSourceRepositoryInterface, CanSaveCredentialSource { public function __construct(ManagerRegistry $registry, private readonly ObjectMapperInterface $objectMapper) { parent::__construct($registry, PublicKeyCredentialSource::class); } public function findOneByCredentialId(string $publicKeyCredentialId): ?WebauthnSource { return $this->findOneBy(['publicKeyCredentialId' => $publicKeyCredentialId]); } public function findAllForUserEntity(PublicKeyCredentialUserEntity $publicKeyCredentialUserEntity): array { return $this->findBy(['userHandle' => $publicKeyCredentialUserEntity->id]); } public function saveCredentialSource(WebauthnSource $publicKeyCredentialSource): void { $entity = $this->findOneBy(['publicKeyCredentialId' => base64_encode($publicKeyCredentialSource->publicKeyCredentialId)]) ?? $this->objectMapper->map($publicKeyCredentialSource, PublicKeyCredentialSource::class); $this->getEntityManager()->persist($entity); $this->getEntityManager()->flush(); } } Бюлетинът WebAuthn разчита на абстрактни интерфейси за намиране и запазване на потребителите и поверителностите. Потребителски репозитории UserRepository изпълнява PublicKeyCredentialUserEntityRepositoryInterface. Тъй като искаме пакетът да обработва създаването на потребители автоматично по време на регистрация passkey, ние също така изпълняваме и . CanRegisterUserEntity CanGenerateUserEntity namespace App\Repository; use App\Entity\User; use Doctrine\Bundle\DoctrineBundle\Repository\ServiceEntityRepository; use Doctrine\Persistence\ManagerRegistry; use Symfony\Component\Uid\Uuid; use Webauthn\Bundle\Repository\CanGenerateUserEntity; use Webauthn\Bundle\Repository\CanRegisterUserEntity; use Webauthn\Bundle\Repository\PublicKeyCredentialUserEntityRepositoryInterface; use Webauthn\Exception\InvalidDataException; use Webauthn\PublicKeyCredentialUserEntity; class UserRepository extends ServiceEntityRepository implements PublicKeyCredentialUserEntityRepositoryInterface, CanRegisterUserEntity, CanGenerateUserEntity { public function __construct(ManagerRegistry $registry) { parent::__construct($registry, User::class); } public function saveUserEntity(PublicKeyCredentialUserEntity $userEntity): void { $user = new User(); $user->setEmail($userEntity->name); $user->setUserHandle($userEntity->id); $this->getEntityManager()->persist($user); $this->getEntityManager()->flush(); } public function generateUserEntity(?string $username, ?string $displayName): PublicKeyCredentialUserEntity { return new PublicKeyCredentialUserEntity( $username ?? '', Uuid::v4()->toRfc4122(), $displayName ?? $username ?? '' ); } ... Конфигурация: Bridging Symfony и Apple Apple се нуждае от специални Това идентифицира приложението към iCloud Keychain на потребителя. “Relying Party” (RP) WebAuthn конфигурация Създаване или актуализиране на config/packages/webauthn.yaml: webauthn: allowed_origins: ['%env(WEBAUTHN_ALLOWED_ORIGINS)%'] credential_repository: 'App\Repository\PublicKeyCredentialSourceRepository' user_repository: 'App\Repository\UserRepository' creation_profiles: default: rp: name: '%env(RELYING_PARTY_NAME)%' id: '%env(RELYING_PARTY_ID)%' request_profiles: default: rp_id: '%env(RELYING_PARTY_ID)%' WebAuthn е невероятно строг по отношение на домейните. Не може да се използва на За да гарантираме, че нашето приложение е преносимо в различни среди, ние дефинираме нашите настройки за зависима страна (RP) в на файла. example.com phishing-example.com .env Отворено и добавете: .env or .env.local ###> web-auth/webauthn-symfony-bundle ### RELYING_PARTY_ID=localhost RELYING_PARTY_NAME="My Application" WEBAUTHN_ALLOWED_ORIGINS=localhost ###< web-auth/webauthn-symfony-bundle ### в производството си, трябва да е вашият точен корен (напр. ) и . от . RELYING_PARTY_ID example.com WebAuthn requires a secure HTTPS context Browsers only exempt localhost for development Потокът на регистрация (създаване) Passkey регистрация е двустепенен ръкостискане: Предизвикателство: сървърът генерира уникално предизвикателство и „Опции за създаване“. Атестация: браузърът (Safari/Chrome) пита потребителя за FaceID/TouchID, подписва предизвикателството и изпраща „Атестационния обект“ обратно на сървъра. The Frontend: Стимул и CSRF Безопасността е от първостепенно значение, въпреки че е устойчив на фишинг, вашите крайни точки все още са уязвими към традиционните Ще прехвърлим вградените CSRF токени на Symfony чрез заглавия в нашия сайт. . WebAuthn Cross-Site Request Forgery (CSRF) fetch() calls Да предположим, че имате стандарт Помощник (като който извлича токена от мета тагове или скрити входове), ние го инжектираме в нашия контролер Passkey. CSRF csrf_protection_controller.js import { Controller } from '@hotwired/stimulus'; import { startRegistration, startAuthentication } from '@simplewebauthn/browser'; import { generateCsrfHeaders } from './csrf_protection_controller.js'; export default class extends Controller { static values = { optionsUrl: String, resultUrl: String, isLogin: Boolean } connect() { console.log('Passkey controller connected! 🔑'); } async submit(event) { event.preventDefault(); const username = this.element.querySelector('[name="username"]')?.value; if (!this.isLoginValue && !username) { alert('Please provide a username/email'); return; } const csrfHeaders = generateCsrfHeaders(this.element); try { // 1. Fetch options const response = await fetch(this.optionsUrlValue, { method: 'POST', headers: { 'Content-Type': 'application/json', ...csrfHeaders }, body: username ? JSON.stringify({ username: username, displayName: username }) : '{}' }); if (!response.ok) { const errorData = await response.json().catch(() => ({})); throw new Error(errorData.errorMessage || 'Failed to fetch WebAuthn options from server'); } const options = await response.json(); // 2. Trigger Apple's Passkey UI (Create or Get) let credential; if (this.isLoginValue) { credential = await startAuthentication({ optionsJSON: options }); } else { credential = await startRegistration({ optionsJSON: options }); } // 3. Send result back to verify const result = await fetch(this.resultUrlValue, { method: 'POST', headers: { 'Content-Type': 'application/json', ...csrfHeaders }, body: JSON.stringify(credential) }); if (result.ok) { window.location.reload(); } else { const errorText = await result.text(); alert('Authentication failed: ' + errorText); } } catch (e) { console.error(e); alert('WebAuthn process failed: ' + e.message); } } } маршрутизиране Трябва да сте сигурни, че маршрутът за Създаване - Създаване : webauthn config/routes/webauthn_routes.yaml webauthn_routes: resource: . type: webauthn Интеграция на пакет за сигурност За да позволите на потребителите да влизат в Трябва да конфигурираме . Passkey Symfony Guard (now the Authenticator system) В config/packages/security.yaml ще намерите: security: providers: app_user_provider: entity: class: App\Entity\User property: email firewalls: dev: pattern: ^/(_(profiler|wdt)|css|images|js)/ security: false main: lazy: true provider: app_user_provider webauthn: authentication: routes: options_path: /login/passkey/options result_path: /login/passkey/result registration: enabled: true routes: options_path: /register/passkey/options result_path: /register/passkey/result success_handler: App\Security\AuthenticationSuccessHandler failure_handler: App\Security\AuthenticationFailureHandler logout: path: app_logout access_control: - { path: ^/dashboard, roles: ROLE_USER } Управление на неуспеха на автентичността Защото Церемонията включва При заявки от предния край, стандартното пренасочване на Symfony при неуспех (напр. опит да се регистрира имейл, който вече съществува) ще бъде тихо погълнато от браузъра, което ще доведе до разочароващо потребителско преживяване. WebAuthn AJAX fetch() Изпълняваме навик Това ще върне чистотата Отговор, когато заявката е AJAX. AuthenticationFailureHandler 401 Unauthorized JSON Създаване : src/Security/AuthenticationFailureHandler.php namespace App\Security; use Symfony\Component\HttpFoundation\JsonResponse; use Symfony\Component\HttpFoundation\RedirectResponse; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\HttpFoundation\Response; use Symfony\Component\Routing\Generator\UrlGeneratorInterface; use Symfony\Component\Security\Core\Exception\AuthenticationException; use Symfony\Component\Security\Http\Authentication\AuthenticationFailureHandlerInterface; use Symfony\Component\Security\Http\SecurityRequestAttributes; readonly class AuthenticationFailureHandler implements AuthenticationFailureHandlerInterface { public function __construct(private UrlGeneratorInterface $urlGenerator) {} public function onAuthenticationFailure(Request $request, AuthenticationException $exception): RedirectResponse|JsonResponse { if ($request->getContentTypeFormat() === 'json' || $request->isXmlHttpRequest()) { return new JsonResponse([ 'status' => 'error', 'errorMessage' => $exception->getMessageKey(), ], Response::HTTP_UNAUTHORIZED); } // Store the error in the session $request->getSession()->set(SecurityRequestAttributes::AUTHENTICATION_ERROR, $exception); return new RedirectResponse($this->urlGenerator->generate('app_login')); } } Управление на успеха на автентичността Тъй като Passkeys често заобикалят традиционната форма за вход, трябва да дефинирате къде потребителят отива след successful “Handshake.” namespace App\Security; use Symfony\Component\HttpFoundation\RedirectResponse; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\Routing\Generator\UrlGeneratorInterface; use Symfony\Component\Security\Core\Authentication\Token\TokenInterface; use Symfony\Component\Security\Http\Authentication\AuthenticationSuccessHandlerInterface; readonly class AuthenticationSuccessHandler implements AuthenticationSuccessHandlerInterface { public function __construct(private UrlGeneratorInterface $urlGenerator) {} public function onAuthenticationSuccess(Request $request, TokenInterface $token): RedirectResponse { return new RedirectResponse($this->urlGenerator->generate('app_dashboard')); } } Проверка и Apple-специфични Gotchas HTTPS е задължителен: браузърите няма да излагат navigator.credentials на несигурни източници (с изключение на localhost). RP ID Match: Уверете се, че id в webauthn.yaml точно съответства на вашия домейн. Ако сте на dev.example.com, вашият RP ID трябва да бъде example.com. Apple AAGUID: Устройствата на Apple често връщат „Zero AAGUID“ (всички нули). Ако вашата библиотека е конфигурирана да валидира стриктно удостоверяващи данни чрез метаданни, може да се наложи да разрешите „Неизвестни удостоверяващи данни“ във вашата конфигурация. Заключението Преминаването към Apple Passkeys с Symfony 7.4 не е просто надстройка на сигурността; това е значително подобрение на потребителското ви преживяване. , и сложни изисквания за символи, увеличавате конверсията и задържането на потребителите. password managers “forgot password” emails, Като старши разработчик или ръководител, вашият приоритет е да гарантирате, че това изпълнение остава поддържащо. и атрибутите на PHP 8.x, вие гарантирате, че вашата кодова база остава идиоматична и готова за бъдещи издания на Symfony LTS. WebAuthn-Symfony-Bundle Резюме на контролния списък за разполагане SSL/TLS: Уверете се, че вашата производствена среда използва валиден сертификат (Passkeys ще се провали при обикновена HTTP). Стратегия за RP ID: Решете дали искате да поддържате поддомейни, като зададете вашия Relaying Party ID на домейн от най-високо ниво. Методи за архивиране: Винаги предоставяйте вторичен метод за влизане (като магически връзки или традиционна парола) за потребители на по-стари устройства, които не поддържат FIDO2. Валидиране на метаданни: За приложения с висока степен на сигурност, помислете за разрешаване на услугата за уеб аут/бабабаутн-метаданни, за да проверите дали Passkey наистина идва от устройство на Apple, а не от неупълномощен емулатор. Можете да намерите пълното изпълнение и да следвате напредъка на проекта в GitHub: [ ] Source Code: https://github.com/mattleads/PasskeysAuth https://github.com/mattleads/PasskeysAuth Нека се свържем! Ако сте намерили това полезно или имате въпроси относно изпълнението, бих искал да чуя от вас. LinkedIn: [https://www.linkedin.com/in/matthew-mochalkin/] Връзка към уебсайта: [https://x.com/MattLeads] Телеграма: [https://t.me/MattLeads] GitHub: [https://github.com/mattleads] https://www.linkedin.com/in/matthew-mochalkin/ https://x.com/MattLeads https://t.me/MattLeads https://github.com/mattleads