Паски во Симфонија 7.4: Како да се изгради сосема без лозинка иднина

Во модерната веб ера, лозинките повеќе не се доволни. Тие се коренска причина за повеќе од 80% од прекршувањата на податоци, предмет на фишинг, повторна употреба и ужасни правила за комплексност. Passkeys are the future. Паски, изграден на веб аутентикација ( ) и Вашиот уред (iPhone, Android, Windows Hello, YubiKey) складира приватен клуч, додека серверот само го гледа јавниот клуч. WebAuthn FIDO2 Во овој сеопфатен водич, ние Користење на симфонијата и официјалниот Ние целосно ќе го елиминираме концептот на лозинка од нашата апликација. Нема враќање назад, нема линкови за "ресетирање на лозинката". will build a 100% passwordless authentication system web-auth/webauthn-symfony-bundle Основна архитектура и барања Passkeys работи со замена на заедничка тајна (парола) со пар на јавен / приватен клуч. приватниот клуч никогаш не го напушта уредот на Apple на корисникот (iPhone, Mac, iPad), а јавниот клуч се чува на серверот на Symfony. Технички стак PHP: 8.2 или повисока (Задолжително за најновите WebAuthn libs) Симфонија: 7.4 LTS База на податоци: PostgreSQL, MySQL или SQLite за dev (за складирање на извори на доверба) Примарна библиотека: web-auth/webauthn-symfony-bundle Важни пакети Извршете ја следната команда за да ги инсталирате потребните зависности: composer require web-auth/webauthn-symfony-bundle:^5.2 \ web-auth/webauthn-stimulus:^5.2 \ symfony/uid:^7.4 Ние користиме преку AssetMapper (кој обезбедува одлични опфаќачки функции за native browser WebAuthn APIs) бидејќи Apple Passkeys бара frontend интеракција која најдобро се ракува преку во модерна Symfony средина, или можете да ги користите модулите React/Vue. Насловна / Браузер Stimulus controller Насловна / Браузер Схема на базата на податоци: извор на верификации Ова е местото каде нашата апликација драматично се разликува од традиционалната Symfony апликација. Стандардни Symfony кориснички ентитети не се опремени за складирање на Passkey метаподатоци (како AAGUIDs или алгоритми со јавен клуч Cose). Корисничкиот ентитет Нашиот Ентитети за имплементација Забележливо отсутен е . User Symfony\Component\Security\Core\User\UserInterface PasswordAuthenticatedUserInterface namespace App\Entity; use App\Repository\UserRepository; use Doctrine\ORM\Mapping as ORM; use Symfony\Component\Security\Core\User\UserInterface; use Symfony\Component\Uid\Uuid; use Symfony\Component\Validator\Constraints as Assert; #[ORM\Entity(repositoryClass: UserRepository::class)] #[ORM\Table(name: '`user`')] class User implements UserInterface { #[ORM\Id] #[ORM\GeneratedValue] #[ORM\Column] private ?int $id = null; #[ORM\Column(length: 255, unique: true)] private ?string $userHandle = null; #[ORM\Column(length: 180, unique: true)] #[Assert\NotBlank] #[Assert\Email] private ?string $email = null; public function __construct() { $this->userHandle = Uuid::v4()->toRfc4122(); } ... } Ентитет на PublicKeyCredentialSource Еден корисник може да има повеќе паски (на пример, Face ID на неговиот телефон, Touch ID на неговиот Mac, YubiKey на неговиот клучен синџир). создава Овој ентитет мора да може да се преведува на и од native на пакетот. на објектот. src/Entity/PublicKeyCredentialSource.php Webauthn\PublicKeyCredentialSource Најважно е да се зачува Неуспехот да го направите ова ги уништува податоците за атестирање потребни ако некогаш ви се потребни хардверски клучеви со висока безбедност. TrustPath namespace App\Entity; use App\Repository\PublicKeyCredentialSourceRepository; use Doctrine\ORM\Mapping as ORM; use Webauthn\PublicKeyCredentialSource as WebauthnSource; #[ORM\Entity(repositoryClass: PublicKeyCredentialSourceRepository::class)] #[ORM\Table(name: 'webauthn_credentials')] class PublicKeyCredentialSource extends WebauthnSource { #[ORM\Id] #[ORM\GeneratedValue] #[ORM\Column] private ?int $id = null; public function getId(): ?int { return $this->id; } } на CredentialSourceRepository Исто така, треба да се спроведе а Овие имплементации . CredentialSourceRepository Webauthn\Bundle\Repository\PublicKeyCredentialSourceRepository namespace App\Repository; use App\Entity\PublicKeyCredentialSource; use Doctrine\Bundle\DoctrineBundle\Repository\ServiceEntityRepository; use Doctrine\Persistence\ManagerRegistry; use Symfony\Component\ObjectMapper\ObjectMapperInterface; use Webauthn\Bundle\Repository\PublicKeyCredentialSourceRepositoryInterface; use Webauthn\Bundle\Repository\CanSaveCredentialSource; use Webauthn\PublicKeyCredentialSource as WebauthnSource; use Webauthn\PublicKeyCredentialUserEntity; class PublicKeyCredentialSourceRepository extends ServiceEntityRepository implements PublicKeyCredentialSourceRepositoryInterface, CanSaveCredentialSource { public function __construct(ManagerRegistry $registry, private readonly ObjectMapperInterface $objectMapper) { parent::__construct($registry, PublicKeyCredentialSource::class); } public function findOneByCredentialId(string $publicKeyCredentialId): ?WebauthnSource { return $this->findOneBy(['publicKeyCredentialId' => $publicKeyCredentialId]); } public function findAllForUserEntity(PublicKeyCredentialUserEntity $publicKeyCredentialUserEntity): array { return $this->findBy(['userHandle' => $publicKeyCredentialUserEntity->id]); } public function saveCredentialSource(WebauthnSource $publicKeyCredentialSource): void { $entity = $this->findOneBy(['publicKeyCredentialId' => base64_encode($publicKeyCredentialSource->publicKeyCredentialId)]) ?? $this->objectMapper->map($publicKeyCredentialSource, PublicKeyCredentialSource::class); $this->getEntityManager()->persist($entity); $this->getEntityManager()->flush(); } } Бунтот WebAuthn се потпира на апстрактни интерфејси за да ги пронајде и одржи корисниците и верификациите. Кориснички репозитории UserRepository имплементира PublicKeyCredentialUserEntityRepositoryInterface. Бидејќи сакаме пакетот да се справи со создавање на корисници автоматски за време на регистрација passkey, ние исто така имплементираме и . CanRegisterUserEntity CanGenerateUserEntity namespace App\Repository; use App\Entity\User; use Doctrine\Bundle\DoctrineBundle\Repository\ServiceEntityRepository; use Doctrine\Persistence\ManagerRegistry; use Symfony\Component\Uid\Uuid; use Webauthn\Bundle\Repository\CanGenerateUserEntity; use Webauthn\Bundle\Repository\CanRegisterUserEntity; use Webauthn\Bundle\Repository\PublicKeyCredentialUserEntityRepositoryInterface; use Webauthn\Exception\InvalidDataException; use Webauthn\PublicKeyCredentialUserEntity; class UserRepository extends ServiceEntityRepository implements PublicKeyCredentialUserEntityRepositoryInterface, CanRegisterUserEntity, CanGenerateUserEntity { public function __construct(ManagerRegistry $registry) { parent::__construct($registry, User::class); } public function saveUserEntity(PublicKeyCredentialUserEntity $userEntity): void { $user = new User(); $user->setEmail($userEntity->name); $user->setUserHandle($userEntity->id); $this->getEntityManager()->persist($user); $this->getEntityManager()->flush(); } public function generateUserEntity(?string $username, ?string $displayName): PublicKeyCredentialUserEntity { return new PublicKeyCredentialUserEntity( $username ?? '', Uuid::v4()->toRfc4122(), $displayName ?? $username ?? '' ); } ... Конфигурација: Bridging Symfony и Apple Apple бара конкретни Ова ја идентификува вашата апликација во iCloud Keychain на корисникот. “Relying Party” (RP) WebAuthn конфигурација Креирање или ажурирање на config/packages/webauthn.yaml: webauthn: allowed_origins: ['%env(WEBAUTHN_ALLOWED_ORIGINS)%'] credential_repository: 'App\Repository\PublicKeyCredentialSourceRepository' user_repository: 'App\Repository\UserRepository' creation_profiles: default: rp: name: '%env(RELYING_PARTY_NAME)%' id: '%env(RELYING_PARTY_ID)%' request_profiles: default: rp_id: '%env(RELYING_PARTY_ID)%' WebAuthn е неверојатно строг за домени. Не може да се користи на За да се осигура дека нашата апликација е пренослива низ средини, ние ги дефинираме нашите поставки за доверба (RP) во датотеката . example.com phishing-example.com .env Отворено И да додадеме: .env or .env.local ###> web-auth/webauthn-symfony-bundle ### RELYING_PARTY_ID=localhost RELYING_PARTY_NAME="My Application" WEBAUTHN_ALLOWED_ORIGINS=localhost ###< web-auth/webauthn-symfony-bundle ### во производството , мора да биде вашиот точен корен домен (на пример, ) и . на . RELYING_PARTY_ID example.com WebAuthn requires a secure HTTPS context Browsers only exempt localhost for development Поток на регистрација (создавање) Passkey регистрација е две чекори: Предизвик: Серверот генерира уникатен предизвик и „Опции за креирање“. Атестирање: Прелистувачот (Safari/Chrome) го бара корисникот за FaceID/TouchID, го потпишува предизвикот и го испраќа „Атестирачкиот објект“ назад на серверот. The Frontend: Стимул и CSRF Безбедноста е најважна, иако е отпорен на фишинг, вашите крајни точки се уште се ранливи на традиционалните Ние ќе ги пренесеме вградените CSRF токени на Symfony преку наслови во нашата . WebAuthn Cross-Site Request Forgery (CSRF) fetch() calls Претпоставувајќи дека имате стандард Помош (како и што го извлекува токенот од мета-таг или скриен влез), го вбризгуваме во нашиот Passkey контролер. CSRF csrf_protection_controller.js import { Controller } from '@hotwired/stimulus'; import { startRegistration, startAuthentication } from '@simplewebauthn/browser'; import { generateCsrfHeaders } from './csrf_protection_controller.js'; export default class extends Controller { static values = { optionsUrl: String, resultUrl: String, isLogin: Boolean } connect() { console.log('Passkey controller connected! 🔑'); } async submit(event) { event.preventDefault(); const username = this.element.querySelector('[name="username"]')?.value; if (!this.isLoginValue && !username) { alert('Please provide a username/email'); return; } const csrfHeaders = generateCsrfHeaders(this.element); try { // 1. Fetch options const response = await fetch(this.optionsUrlValue, { method: 'POST', headers: { 'Content-Type': 'application/json', ...csrfHeaders }, body: username ? JSON.stringify({ username: username, displayName: username }) : '{}' }); if (!response.ok) { const errorData = await response.json().catch(() => ({})); throw new Error(errorData.errorMessage || 'Failed to fetch WebAuthn options from server'); } const options = await response.json(); // 2. Trigger Apple's Passkey UI (Create or Get) let credential; if (this.isLoginValue) { credential = await startAuthentication({ optionsJSON: options }); } else { credential = await startRegistration({ optionsJSON: options }); } // 3. Send result back to verify const result = await fetch(this.resultUrlValue, { method: 'POST', headers: { 'Content-Type': 'application/json', ...csrfHeaders }, body: JSON.stringify(credential) }); if (result.ok) { window.location.reload(); } else { const errorText = await result.text(); alert('Authentication failed: ' + errorText); } } catch (e) { console.error(e); alert('WebAuthn process failed: ' + e.message); } } } рутирање Треба да се обезбеди типот на рутер за постои. создаде : webauthn config/routes/webauthn_routes.yaml webauthn_routes: resource: . type: webauthn Безбедносен пакет за интеграција За да им овозможите на корисниците да се пријават со нивните Треба да ја конфигурираме . Passkey Symfony Guard (now the Authenticator system) Во config/packages/security.yaml: security: providers: app_user_provider: entity: class: App\Entity\User property: email firewalls: dev: pattern: ^/(_(profiler|wdt)|css|images|js)/ security: false main: lazy: true provider: app_user_provider webauthn: authentication: routes: options_path: /login/passkey/options result_path: /login/passkey/result registration: enabled: true routes: options_path: /register/passkey/options result_path: /register/passkey/result success_handler: App\Security\AuthenticationSuccessHandler failure_handler: App\Security\AuthenticationFailureHandler logout: path: app_logout access_control: - { path: ^/dashboard, roles: ROLE_USER } Управување со неуспехот на аутентификација Затоа што Церемонијата вклучува Барања од предниот крај, стандарден Symfony пренасочување на неуспех (на пример, се обидува да се регистрира е-пошта која веќе постои) ќе биде тивко проголтани од страна на прелистувачот, што резултира со фрустрирачко корисничко искуство. WebAuthn AJAX fetch() Воспоставуваме навика Тоа се враќа чиста Одговор кога барањето е AJAX. AuthenticationFailureHandler 401 Unauthorized JSON создава : src/Security/AuthenticationFailureHandler.php namespace App\Security; use Symfony\Component\HttpFoundation\JsonResponse; use Symfony\Component\HttpFoundation\RedirectResponse; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\HttpFoundation\Response; use Symfony\Component\Routing\Generator\UrlGeneratorInterface; use Symfony\Component\Security\Core\Exception\AuthenticationException; use Symfony\Component\Security\Http\Authentication\AuthenticationFailureHandlerInterface; use Symfony\Component\Security\Http\SecurityRequestAttributes; readonly class AuthenticationFailureHandler implements AuthenticationFailureHandlerInterface { public function __construct(private UrlGeneratorInterface $urlGenerator) {} public function onAuthenticationFailure(Request $request, AuthenticationException $exception): RedirectResponse|JsonResponse { if ($request->getContentTypeFormat() === 'json' || $request->isXmlHttpRequest()) { return new JsonResponse([ 'status' => 'error', 'errorMessage' => $exception->getMessageKey(), ], Response::HTTP_UNAUTHORIZED); } // Store the error in the session $request->getSession()->set(SecurityRequestAttributes::AUTHENTICATION_ERROR, $exception); return new RedirectResponse($this->urlGenerator->generate('app_login')); } } Успешен менаџер за аутентификација Бидејќи Passkeys често го заобиколува традиционалниот формулар за пријавување, треба да дефинирате каде корисникот оди по successful “Handshake.” namespace App\Security; use Symfony\Component\HttpFoundation\RedirectResponse; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\Routing\Generator\UrlGeneratorInterface; use Symfony\Component\Security\Core\Authentication\Token\TokenInterface; use Symfony\Component\Security\Http\Authentication\AuthenticationSuccessHandlerInterface; readonly class AuthenticationSuccessHandler implements AuthenticationSuccessHandlerInterface { public function __construct(private UrlGeneratorInterface $urlGenerator) {} public function onAuthenticationSuccess(Request $request, TokenInterface $token): RedirectResponse { return new RedirectResponse($this->urlGenerator->generate('app_dashboard')); } } Верификација и Apple-специфични Gotchas HTTPS е задолжителен: Прелистувачите нема да ги изложуваат navigator.credentials на несигурни извори (освен localhost). RP ID Match: Осигурајте се дека id во webauthn.yaml точно одговара на вашиот домен. Ако сте на dev.example.com, вашиот RP ID треба да биде example.com. Apple AAGUID: Apple уредите често враќаат „Zero AAGUID“ (сите нули). Ако вашата библиотека е конфигурирана за строго да ги потврдува аутентификаторите преку метаподатоци, можеби ќе треба да овозможите „Непознати аутентификатори“ во вашата конфигурација. Заклучок Премин на Apple Passkeys со Symfony 7.4 не е само надградба на безбедноста; тоа е значително подобрување на вашето корисничко искуство. , на и сложени барања за карактер, ќе ја зголемите конверзијата и задржувањето на корисниците. password managers “forgot password” emails, Како висок програмер или лидер, вашиот приоритет е да се осигурате дека оваа имплементација останува одржлива. и PHP 8.x атрибути, ќе бидете сигурни дека вашата кодова база останува идиоматична и подготвена за идните изданија на Symfony LTS. WebAuthn-Symfony-Bundle Кратка контролна листа за распоредување SSL/TLS: Осигурајте се дека вашата производствена средина користи валиден сертификат (Passkeys ќе пропадне на обичен HTTP). RP ID Стратегија: Одлучете дали сакате да ги поддржувате поддомените со поставување на вашиот Relaying Party ID на доменот на највисоко ниво. Методи за резервно копирање: Секогаш обезбедете секундарна метода за најавување (како што се магични врски или традиционална лозинка) за корисниците на постари уреди кои не го поддржуваат FIDO2. Валидација на метаподатоци: За апликации со висока безбедност, размислете за овозможување на услугата за веб аут/бабабаутн-метаподатоци за да проверите дали Passkey навистина доаѓа од уред на Apple, а не од неовластен емулатор. Можете да ја најдете целосната имплементација и да го следите напредокот на проектот на GitHub: [ ] Source Code: https://github.com/mattleads/PasskeysAuth https://github.com/mattleads/PasskeysAuth Ајде да се поврземе! Ако го најдовте ова корисно или имате прашања за имплементацијата, би сакал да слушам од вас. LinkedIn: [https://www.linkedin.com/in/matthew-mochalkin/] Социјална мрежа (Twitter): [https://x.com/MattLeads] Телеграм: [https://t.me/MattLeads] ГитХуб: [https://github.com/mattleads] https://www.linkedin.com/in/matthew-mochalkin/ https://x.com/MattLeads https://t.me/MattLeads https://github.com/mattleads