Passkeys בסימפוניה 7.4: איך לבנות עתיד ללא סיסמאות לחלוטין

בעידן האינטרנט המודרני, סיסמאות כבר לא מספיקות, הן הגורם העיקרי ביותר מ-80% מהפרות נתונים, כפופים לפייינג, לשימוש חוזר וכללים מורכבים נוראיים. Passkeys are the future. WEB WEB WEB WEB WEB WEB WEB WEB ( ) ו המכשיר שלך (iPhone, Android, Windows Hello, YubiKey) מאחסן מפתח פרטי, בעוד שהשרת רואה רק את המפתח הציבורי. WebAuthn FIDO2 במדריך המלא הזה, אנו באמצעות סימפוניה והפקידה אנו נמחק את הרעיון של סיסמה לחלוטין מהאפליקציה שלנו.לא פסולת, לא "להגדיר מחדש את הסיסמה" קישורים.רק סיסמאות טהורות, מאובטחות, מבוססות ביומטריה. will build a 100% passwordless authentication system web-auth/webauthn-symfony-bundle ארכיטקטורה עיקרית & דרישות Passkeys עובד על ידי החלפת סוד משותף (סיסמה) עם זוג מפתח ציבורי/פרטי. המפתח הפרטי לעולם לא עוזב את המכשיר של המשתמש Apple (iPhone, Mac, iPad), והמפתח הציבורי מאוחסן בשרת Symfony שלך. טכנולוגיית Stack PHP: 8.2 או גבוה יותר (דרוש עבור Libs WebAuthn האחרונים) סימפוניה: 7.4 LTS מסד נתונים: PostgreSQL, MySQL, או SQLite for dev (לשמור מקורות אישורים) ספריה ראשונית: web-auth/webauthn-symfony-bundle חבילות חיוניות הפעל את הפקודה הבאה כדי להתקין את התמכרות הדרושה: composer require web-auth/webauthn-symfony-bundle:^5.2 \ web-auth/webauthn-stimulus:^5.2 \ symfony/uid:^7.4 אנו משתמשים באמצעות AssetMapper (אשר מספקת פונקציות מעורבות מצוינות ל-WebAuthn APIs של הדפדפן המקורי) מכיוון ש-Apple Passkeys דורשת אינטראקציה קדמית שעובדת בצורה הטובה ביותר באמצעות בסביבת סימפוניה מודרנית, או שתוכל להשתמש במודולים React/Vue. תגיות / browsers Stimulus controller תגיות / browsers מסד נתונים: המקור האמיתי זה המקום שבו היישום שלנו משתנה באופן דרמטי מאפליקציה מסורתית Symfony. ארגוני משתמשים סטנדרטיים של Symfony אינם מצוידים לאחסון מטא-נתונים של Passkey (כמו AAGUIDs או אלגוריתמים של Cose עם מפתח ציבורי). Entity המשתמש שלנו ארגונים Implements הנעדר באופן משמעותי הוא . User Symfony\Component\Security\Core\User\UserInterface PasswordAuthenticatedUserInterface namespace App\Entity; use App\Repository\UserRepository; use Doctrine\ORM\Mapping as ORM; use Symfony\Component\Security\Core\User\UserInterface; use Symfony\Component\Uid\Uuid; use Symfony\Component\Validator\Constraints as Assert; #[ORM\Entity(repositoryClass: UserRepository::class)] #[ORM\Table(name: '`user`')] class User implements UserInterface { #[ORM\Id] #[ORM\GeneratedValue] #[ORM\Column] private ?int $id = null; #[ORM\Column(length: 255, unique: true)] private ?string $userHandle = null; #[ORM\Column(length: 180, unique: true)] #[Assert\NotBlank] #[Assert\Email] private ?string $email = null; public function __construct() { $this->userHandle = Uuid::v4()->toRfc4122(); } ... } ארגון PublicKeyCredentialSource למשתמש יחיד יש אפשרויות רבות (לדוגמה, Face ID בטלפון, Touch ID ב-Mac, YubiKey בשרשרת המפתח). ליצור הישות הזאת חייבת להיות מסוגלת לתרגם לגרסה המקורית של החבילה וממנה. אובייקט src/Entity/PublicKeyCredentialSource.php Webauthn\PublicKeyCredentialSource לכן, חשוב לשמור על היעדר פעולה זו הורסת את נתוני האישור הדרושים אם אי פעם תזדקקו למפתחות חומרה אבטחה גבוהה. TrustPath namespace App\Entity; use App\Repository\PublicKeyCredentialSourceRepository; use Doctrine\ORM\Mapping as ORM; use Webauthn\PublicKeyCredentialSource as WebauthnSource; #[ORM\Entity(repositoryClass: PublicKeyCredentialSourceRepository::class)] #[ORM\Table(name: 'webauthn_credentials')] class PublicKeyCredentialSource extends WebauthnSource { #[ORM\Id] #[ORM\GeneratedValue] #[ORM\Column] private ?int $id = null; public function getId(): ?int { return $this->id; } } The CredentialSourceRepository עליך גם ליישם את המשימות האלה . CredentialSourceRepository Webauthn\Bundle\Repository\PublicKeyCredentialSourceRepository namespace App\Repository; use App\Entity\PublicKeyCredentialSource; use Doctrine\Bundle\DoctrineBundle\Repository\ServiceEntityRepository; use Doctrine\Persistence\ManagerRegistry; use Symfony\Component\ObjectMapper\ObjectMapperInterface; use Webauthn\Bundle\Repository\PublicKeyCredentialSourceRepositoryInterface; use Webauthn\Bundle\Repository\CanSaveCredentialSource; use Webauthn\PublicKeyCredentialSource as WebauthnSource; use Webauthn\PublicKeyCredentialUserEntity; class PublicKeyCredentialSourceRepository extends ServiceEntityRepository implements PublicKeyCredentialSourceRepositoryInterface, CanSaveCredentialSource { public function __construct(ManagerRegistry $registry, private readonly ObjectMapperInterface $objectMapper) { parent::__construct($registry, PublicKeyCredentialSource::class); } public function findOneByCredentialId(string $publicKeyCredentialId): ?WebauthnSource { return $this->findOneBy(['publicKeyCredentialId' => $publicKeyCredentialId]); } public function findAllForUserEntity(PublicKeyCredentialUserEntity $publicKeyCredentialUserEntity): array { return $this->findBy(['userHandle' => $publicKeyCredentialUserEntity->id]); } public function saveCredentialSource(WebauthnSource $publicKeyCredentialSource): void { $entity = $this->findOneBy(['publicKeyCredentialId' => base64_encode($publicKeyCredentialSource->publicKeyCredentialId)]) ?? $this->objectMapper->map($publicKeyCredentialSource, PublicKeyCredentialSource::class); $this->getEntityManager()->persist($entity); $this->getEntityManager()->flush(); } } חבילת WebAuthn מסתמכת על ממשקים abstract כדי למצוא ולשמור על משתמשים ואישורים. המשתמשRepository UserRepository מיישם PublicKeyCredentialUserEntityRepositoryInterface. מכיוון שאנחנו רוצים את החבילה להתמודד עם יצירת משתמשים באופן אוטומטי במהלך רישום passkey, אנו גם ליישם ו . CanRegisterUserEntity CanGenerateUserEntity namespace App\Repository; use App\Entity\User; use Doctrine\Bundle\DoctrineBundle\Repository\ServiceEntityRepository; use Doctrine\Persistence\ManagerRegistry; use Symfony\Component\Uid\Uuid; use Webauthn\Bundle\Repository\CanGenerateUserEntity; use Webauthn\Bundle\Repository\CanRegisterUserEntity; use Webauthn\Bundle\Repository\PublicKeyCredentialUserEntityRepositoryInterface; use Webauthn\Exception\InvalidDataException; use Webauthn\PublicKeyCredentialUserEntity; class UserRepository extends ServiceEntityRepository implements PublicKeyCredentialUserEntityRepositoryInterface, CanRegisterUserEntity, CanGenerateUserEntity { public function __construct(ManagerRegistry $registry) { parent::__construct($registry, User::class); } public function saveUserEntity(PublicKeyCredentialUserEntity $userEntity): void { $user = new User(); $user->setEmail($userEntity->name); $user->setUserHandle($userEntity->id); $this->getEntityManager()->persist($user); $this->getEntityManager()->flush(); } public function generateUserEntity(?string $username, ?string $displayName): PublicKeyCredentialUserEntity { return new PublicKeyCredentialUserEntity( $username ?? '', Uuid::v4()->toRfc4122(), $displayName ?? $username ?? '' ); } ... תגית: Bridging Symfony and Apple אפל דורשת זה מזהה את היישום שלך ל- iCloud Keychain של המשתמש. “Relying Party” (RP) WebAuthn תצורה יצירת או עדכון config/packages/webauthn.yaml: webauthn: allowed_origins: ['%env(WEBAUTHN_ALLOWED_ORIGINS)%'] credential_repository: 'App\Repository\PublicKeyCredentialSourceRepository' user_repository: 'App\Repository\UserRepository' creation_profiles: default: rp: name: '%env(RELYING_PARTY_NAME)%' id: '%env(RELYING_PARTY_ID)%' request_profiles: default: rp_id: '%env(RELYING_PARTY_ID)%' WebAuthn הוא קפדני מאוד לגבי תחומים. a passkey created for לא ניתן להשתמש ב כדי להבטיח שהאפליקציה שלנו היא ניידת בכל סביבות, אנו מגדירים את הגדרות Relying Party (RP) שלנו קובץ example.com phishing-example.com .env פתוחה ועוד להוסיף: .env or .env.local ###> web-auth/webauthn-symfony-bundle ### RELYING_PARTY_ID=localhost RELYING_PARTY_NAME="My Application" WEBAUTHN_ALLOWED_ORIGINS=localhost ###< web-auth/webauthn-symfony-bundle ### במהלך הייצור , זה חייב להיות תחום השורש המדויק שלך (למשל, ) ו → . RELYING_PARTY_ID example.com WebAuthn requires a secure HTTPS context Browsers only exempt localhost for development זרימת הרישום (Creation) רישום Passkey הוא פעולה בשני צעדים: אתגר: השרת יוצר אתגר ייחודי ו"אפשרויות יצירה". אישור: הדפדפן (Safari / Chrome) מבקש מהמשתמש FaceID / TouchID, חותם את האתגר ומשלח את "אובייקט אישור" בחזרה לשרת. The Frontend: Stimulus ו- CSRF הבטיחות היא העיקרית, גם אם הוא עמיד באופן טבעי לפייינג, נקודות הקצה שלך עדיין פגיעות אם יישארו ללא הגנה, נעביר את ה-CSRF המובנה של סימפוני דרך הכותרות שלנו. . WebAuthn Cross-Site Request Forgery (CSRF) fetch() calls נניח שיש לך סטנדרט עוזר (כמו כדי לחלץ את הטוקן מ- meta tag או כניסה מוסתרת), אנו מדביקים אותו ב- Passkey Controller שלנו. CSRF csrf_protection_controller.js import { Controller } from '@hotwired/stimulus'; import { startRegistration, startAuthentication } from '@simplewebauthn/browser'; import { generateCsrfHeaders } from './csrf_protection_controller.js'; export default class extends Controller { static values = { optionsUrl: String, resultUrl: String, isLogin: Boolean } connect() { console.log('Passkey controller connected! 🔑'); } async submit(event) { event.preventDefault(); const username = this.element.querySelector('[name="username"]')?.value; if (!this.isLoginValue && !username) { alert('Please provide a username/email'); return; } const csrfHeaders = generateCsrfHeaders(this.element); try { // 1. Fetch options const response = await fetch(this.optionsUrlValue, { method: 'POST', headers: { 'Content-Type': 'application/json', ...csrfHeaders }, body: username ? JSON.stringify({ username: username, displayName: username }) : '{}' }); if (!response.ok) { const errorData = await response.json().catch(() => ({})); throw new Error(errorData.errorMessage || 'Failed to fetch WebAuthn options from server'); } const options = await response.json(); // 2. Trigger Apple's Passkey UI (Create or Get) let credential; if (this.isLoginValue) { credential = await startAuthentication({ optionsJSON: options }); } else { credential = await startRegistration({ optionsJSON: options }); } // 3. Send result back to verify const result = await fetch(this.resultUrlValue, { method: 'POST', headers: { 'Content-Type': 'application/json', ...csrfHeaders }, body: JSON.stringify(credential) }); if (result.ok) { window.location.reload(); } else { const errorText = await result.text(); alert('Authentication failed: ' + errorText); } } catch (e) { console.error(e); alert('WebAuthn process failed: ' + e.message); } } } Routing אתה צריך להבטיח את סוג המסלול עבור קיים - יוצר : webauthn config/routes/webauthn_routes.yaml webauthn_routes: resource: . type: webauthn אינטגרציה ב-Security Bundle כדי לאפשר למשתמשים להיכנס עם אנחנו צריכים להגדיר את . Passkey Symfony Guard (now the Authenticator system) בדף config/packages/security.yaml: security: providers: app_user_provider: entity: class: App\Entity\User property: email firewalls: dev: pattern: ^/(_(profiler|wdt)|css|images|js)/ security: false main: lazy: true provider: app_user_provider webauthn: authentication: routes: options_path: /login/passkey/options result_path: /login/passkey/result registration: enabled: true routes: options_path: /register/passkey/options result_path: /register/passkey/result success_handler: App\Security\AuthenticationSuccessHandler failure_handler: App\Security\AuthenticationFailureHandler logout: path: app_logout access_control: - { path: ^/dashboard, roles: ROLE_USER } תגית: failure authentication כי טקסים מעורבים בקשות מהחלק הקדמי, העברה סטנדרטית של Symfony כשלון (למשל, מנסה להירשם דואר אלקטרוני שכבר קיים) יבלע בשקט על ידי הדפדפן, וכתוצאה מכך חוויה משתמש מתסכלת. WebAuthn AJAX fetch() אנו מבצעים מנהג זה יחזיר נקי התשובה היא AJAX. AuthenticationFailureHandler 401 Unauthorized JSON ליצור : src/Security/AuthenticationFailureHandler.php namespace App\Security; use Symfony\Component\HttpFoundation\JsonResponse; use Symfony\Component\HttpFoundation\RedirectResponse; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\HttpFoundation\Response; use Symfony\Component\Routing\Generator\UrlGeneratorInterface; use Symfony\Component\Security\Core\Exception\AuthenticationException; use Symfony\Component\Security\Http\Authentication\AuthenticationFailureHandlerInterface; use Symfony\Component\Security\Http\SecurityRequestAttributes; readonly class AuthenticationFailureHandler implements AuthenticationFailureHandlerInterface { public function __construct(private UrlGeneratorInterface $urlGenerator) {} public function onAuthenticationFailure(Request $request, AuthenticationException $exception): RedirectResponse|JsonResponse { if ($request->getContentTypeFormat() === 'json' || $request->isXmlHttpRequest()) { return new JsonResponse([ 'status' => 'error', 'errorMessage' => $exception->getMessageKey(), ], Response::HTTP_UNAUTHORIZED); } // Store the error in the session $request->getSession()->set(SecurityRequestAttributes::AUTHENTICATION_ERROR, $exception); return new RedirectResponse($this->urlGenerator->generate('app_login')); } } מנהל ההצלחה של האותנטיקה מאז Passkeys לעתים קרובות לעקוף את הטופס ההתחברות המסורתי, אתה צריך להגדיר איפה המשתמש הולך אחרי successful “Handshake.” namespace App\Security; use Symfony\Component\HttpFoundation\RedirectResponse; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\Routing\Generator\UrlGeneratorInterface; use Symfony\Component\Security\Core\Authentication\Token\TokenInterface; use Symfony\Component\Security\Http\Authentication\AuthenticationSuccessHandlerInterface; readonly class AuthenticationSuccessHandler implements AuthenticationSuccessHandlerInterface { public function __construct(private UrlGeneratorInterface $urlGenerator) {} public function onAuthenticationSuccess(Request $request, TokenInterface $token): RedirectResponse { return new RedirectResponse($this->urlGenerator->generate('app_dashboard')); } } אימות ו-Apple-Specific Gotchas HTTPS הוא חובה: דפדפנים לא יפגינו את navigator.credentials במקור לא מאובטח (למעט localhost). RP ID Match: ודא שה-id ב-webauthn.yaml תואם בדיוק את התחום שלך. אם אתה נמצא ב-dev.example.com, ה-RP ID שלך צריך להיות example.com. AAGUID של Apple: מכשירים של Apple חוזרים לעתים קרובות "Zero AAGUID" (כל אפסים).אם הספריה שלך מוגדרת כדי לאמת אימותים באופן קפדני באמצעות מטא-נתונים, ייתכן שתצטרך לאפשר "אימותים לא ידועים" בתצורה שלך. מסקנה המעבר ל-Apple Passkeys עם Symfony 7.4 אינו רק שדרוג אבטחה; זה שיפור משמעותי לחוויית המשתמש שלך. , ואת דרישות התווים המורכבות, אתה מגדיל את ההמרות ואת retention של המשתמשים. password managers “forgot password” emails, בתור מפתח בכיר או מנהל, העדיפות שלך היא להבטיח כי יישום זה נשאר תמיכה. ואת המאפיינים של PHP 8.x, אתה מבטיח כי בסיס הקוד שלך נשאר אידיאומטי ומוכן לשחרורים עתידיים של Symfony LTS. WebAuthn-Symfony-Bundle רשימת בדיקות קצרה לשימוש SSL/TLS: ודא כי סביבת הייצור שלך משתמשת במסמך תקף (Passkeys יכשל ב-HTTP פשוט). אסטרטגיה של RP ID: להחליט אם ברצונך לתמוך בדומיינים משניים על-ידי הגדרת ה- Relaying Party ID שלך לתחום הרמה העליונה. שיטות גיבוי: תמיד לספק שיטת כניסה משנית (כגון קישורים קסומים או סיסמה מסורתית) למשתמשים במכשירים ישנים שאינם תומכים ב- FIDO2. אימות מטא-נתונים: עבור יישומים בעלי אבטחה גבוהה, שימו לב לאפשר את שירות ה-web-auth/webauthn-metadata כדי לאמת כי Passkey אכן מגיע ממכשיר של Apple ולא אמולטור לא מורשה. אתה יכול למצוא את היישום המלא ולעקוב אחר התקדמות הפרויקט על GitHub: [ ] Source Code: https://github.com/mattleads/PasskeysAuth https://github.com/mattleads/PasskeysAuth בואו נתחבר! אם מצאתם את זה שימושי או שיש לכם שאלות בנוגע ליישום, אשמח לשמוע מכם. LinkedIn: [https://www.linkedin.com/in/matthew-mochalkin/] אתר האינטרנט: [https://x.com/MattLeads] טלגרם: [https://t.me/MattLeads] גטהוב: [https://github.com/mattleads] https://www.linkedin.com/in/matthew-mochalkin/ https://x.com/MattLeads https://t.me/MattLeads https://github.com/mattleads