د سنفونیا کې 10 تکنیکونه چې به تاسو ته د پرو په څیر ډاډ کړئ

په حقیقت کې، دا یو پیچلي تصدیق فریم ورک دی چې کولی شي د پیچلي حالت ماشينونو، جغرافیایی اجازهونه، او غیر دولت تصدیق جریانونه د کارولو سره مرسته وکړي. دا لارښود د Symfony 7.4 په کارولو سره د 10 پرمختللي نمونې څیړنه کوي. Stateless API تصدیق سره AuthenticationEntryPointInterface د عصري غوښتنلیکونه معمولا د Stateless API سره د Stateful Frontend ته اړتیا لري. د Symfony 6.2+ له امله، د AuthenticationEntryPointInterface د API tokens (JWT، Opaque، او داسې نور) پرته د قدیم Guard تصدیق کونکي پرته د کارولو ترټولو غوره لاره ده. تاسو باید د سړکونو د ساتنې لاندې د A کارولو Token، د دې سره د ډاټا بیس یا بهرني خدمت، په بشپړه توګه د سیشنونو له لارې د تصدیق. Scenario: /api Bearer Create the Authenticator: namespace App\Security; use App\Repository\ApiTokenRepository; use Symfony\Component\HttpFoundation\JsonResponse; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\HttpFoundation\Response; use Symfony\Component\Security\Core\Authentication\Token\TokenInterface; use Symfony\Component\Security\Core\Exception\AuthenticationException; use Symfony\Component\Security\Core\Exception\CustomUserMessageAuthenticationException; use Symfony\Component\Security\Http\Authenticator\AbstractAuthenticator; use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge; use Symfony\Component\Security\Http\Authenticator\Passport\Passport; use Symfony\Component\Security\Http\Authenticator\Passport\SelfValidatingPassport; use Symfony\Component\Security\Http\EntryPoint\AuthenticationEntryPointInterface; class ApiTokenAuthenticator extends AbstractAuthenticator implements AuthenticationEntryPointInterface { public function __construct(private readonly ApiTokenRepository $apiTokenRepository) { } public function supports(Request $request): ?bool { return $request->headers->has('Authorization') && str_starts_with($request->headers->get('Authorization'), 'Bearer '); } public function authenticate(Request $request): Passport { $apiToken = substr($request->headers->get('Authorization'), 7); if (null === $apiToken) { throw new CustomUserMessageAuthenticationException('No API token provided'); } $token = $this->apiTokenRepository->findOneBy(['token' => $apiToken]); if (null === $token || !$token->isValid()) { throw new CustomUserMessageAuthenticationException('Invalid API Token'); } return new SelfValidatingPassport(new UserBadge($token->getOwner()->getUserIdentifier())); } public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $firewallName): ?Response { return null; } public function onAuthenticationFailure(Request $request, AuthenticationException $exception): ?Response { $data = ['message' => strtr($exception->getMessageKey(), $exception->getMessageData())]; return new JsonResponse($data, Response::HTTP_UNAUTHORIZED); } public function start(Request $request, AuthenticationException $authException = null): Response { return new JsonResponse(['message' => 'Authentication Required'], Response::HTTP_UNAUTHORIZED); } } Configure security.yaml: api: pattern: ^/api stateless: true custom_authenticators: - App\Security\ApiTokenAuthenticator entry_point: App\Security\ApiTokenAuthenticator Verification: د cURL غوښتنلیک ترسره کړئ. تاسو باید د 401 سره د headern او 200 سره ترلاسه کړئ. curl -I -H "Authorization: Bearer YOUR_VALID_TOKEN" http://localhost:8080/api/profile د ګمرک وړ "Magic Link" تصدیق د کارولو آسانه کولو لپاره، تاسو ممکن غواړئ کاروونکو ته اجازه ورکړي چې د خپل ایمیل ته لیږد شوي لنکس کلیک کولو له لارې لاسلیک کړئ، په بشپړه توګه د پاسورډونو څخه مخنیوی کړئ. د Authenticator تنظیم کړئ: د انټرنټ login_link تصدیق کولو فعال کړئ. login_link: check_route: login_check signature_properties: ['id', 'email'] lifetime: 600 د لګولو او د لنډ ورکولو: په خپل کنټرولر کې: namespace App\Controller; use App\Repository\UserRepository; use Symfony\Bundle\FrameworkBundle\Controller\AbstractController; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\HttpFoundation\Response; use Symfony\Component\Notifier\NotifierInterface; use Symfony\Component\Notifier\Recipient\Recipient; use Symfony\Component\Routing\Attribute\Route; use Symfony\Component\Security\Http\Authentication\AuthenticationUtils; use Symfony\Component\Security\Http\LoginLink\LoginLinkHandlerInterface; use Symfony\Component\Security\Http\LoginLink\LoginLinkNotification; class SecurityController extends AbstractController { #[Route('/login/link', name: 'login_link_start', methods: ['GET', 'POST'])] public function requestLink( Request $request, LoginLinkHandlerInterface $loginLinkHandler, NotifierInterface $notifier, UserRepository $userRepository ): Response { if ($request->isMethod('POST')) { $email = $request->request->get('email'); $user = $userRepository->findOneBy(['email' => $email]); if ($user) { $loginLinkDetails = $loginLinkHandler->createLoginLink($user); $notification = (new LoginLinkNotification( $loginLinkDetails, 'Welcome back! Click to login.' )); $notifier->send($notification, new Recipient($user->getEmail())); // For demonstration, we'll dump the link to the profiler instead of sending an email. // In a real app, you'd remove this. $this->addFlash('success', 'Login link sent! Check the profiler for the link.'); $this->addFlash('login_link', $loginLinkDetails->getUrl()); } return $this->render('security/link_sent.html.twig'); } return $this->render('security/request_login_link.html.twig'); } #[Route('/login/check', name: 'login_check')] public function check(): void { throw new \LogicException('This controller should not be reached!'); } } Verification: د فورمه وړاندې کړئ. ستاسو د بریښنا رسولو چمتو کړئ (د مثال په توګه، د بریښنا رسنیو یا محلي ژورونه). د تولید شوي لنک کلیک وکړئ. تاسو باید فورا تصدیق کړئ. د ډاټاټابیس څخه د ډاټاټابیس د ډاټاټابیس د ډاټاټابیس ډاټا د معياري Symfony رولونه په سټیټیک ډول تعریف شوي دي Enterprise غوښتنلیکونه معمولا د دویمیک رولونو ته اړتیا لري چې د Admin UI له لارې تنظیم شي. security.yaml موږ د خدمتونه security.role_hierarchy Create the Decorator namespace App\Security; use App\Repository\RoleRepository; use Symfony\Component\DependencyInjection\Attribute\AsDecorator; use Symfony\Component\Security\Core\Role\RoleHierarchy; use Symfony\Component\Security\Core\Role\RoleHierarchyInterface; #[AsDecorator('security.role_hierarchy')] class DatabaseRoleHierarchy implements RoleHierarchyInterface { private RoleHierarchyInterface $mergedHierarchy; public function __construct( // The decorated service is not used, but is required for the decorator pattern RoleHierarchyInterface $inner, array $staticHierarchy, private readonly RoleRepository $roleRepository ) { $dbHierarchy = $this->roleRepository->findAllHierarchy(); // array_merge_recursive can have unexpected results with numeric keys, but it's fine for role strings. $merged = array_merge_recursive($staticHierarchy, $dbHierarchy); $this->mergedHierarchy = new RoleHierarchy($merged); } public function getReachableRoleNames(array $roles): array { return $this->mergedHierarchy->getReachableRoleNames($roles); } } Verification: د عادي رول ورکړئ په DB کې د کاروونکي لپاره. ډاډ د وارث په ستاسو د ډاټا جدول کې. Login and dump تاسو باید د وارث شوي رولونه په اتوماتيک ډول ښودل شي. ROLE_SUPER_MANAGER ROLE_SUPER_MANAGER ROLE_ADMIN $user->getRoles() د انتخاباتو او ځانګړتیاوو سره پیچلي سوداګرۍ منطق په کنټرولرونو کې د مجازاتو منطق نه ورکړئ. Voters کاروي. په Symfony 7.4 کې، موږ کولی شو د پاک کوډ لپاره ځانګړي موضوعات او ځانګړتیاوې. #[IsGranted] یو کاروونکي کولی شي یوازې یو پست رامینځته کړي که دوی د نویسنده او يا که دوی یو ترمیمونکي وي او د پست "پول شوی" دی (نه نه ډیزاین). The Voter: namespace App\Security\Voter; use App\Entity\Post; use App\Entity\User; use Symfony\Component\Security\Core\Authentication\Token\TokenInterface; use Symfony\Component\Security\Core\Authorization\Voter\Voter; class PostVoter extends Voter { public const string EDIT = 'POST_EDIT'; protected function supports(string $attribute, mixed $subject): bool { return $attribute === self::EDIT && $subject instanceof Post; } protected function voteOnAttribute(string $attribute, mixed $subject, TokenInterface $token): bool { $user = $token->getUser(); if (!$user instanceof User) { return false; } /** @var Post $post */ $post = $subject; // Rule 1: Author can always edit if ($post->getAuthor() === $user) { return true; } // Rule 2: Editors can only edit if Published if (in_array('ROLE_EDITOR', $user->getRoles()) && $post->isPublished()) { return true; } return false; } } The Controller: namespace App\Controller; use App\Entity\Post; use App\Security\Voter\PostVoter; use Symfony\Bundle\FrameworkBundle\Controller\AbstractController; use Symfony\Component\HttpFoundation\Response; use Symfony\Component\Routing\Attribute\Route; use Symfony\Component\Security\Http\Attribute\IsGranted; class PostController extends AbstractController { #[Route('/post/{id}/edit', name: 'post_edit')] #[IsGranted(PostVoter::EDIT, subject: 'post')] public function edit(Post $post): Response { return $this->render('post/edit.html.twig', [ 'post' => $post, ]); } } Verification: هڅه وکړئ چې د پروژې پست په توګه د ناقانونه په توګه د ترمیم ریل ته لاس رسی کړئ. تاسو به د . 403 Access Denied د Login هڅو محدود کول د brute force ساتنې مهم دی. Symfony د RateLimiter په مستقیم ډول په firewall کې یوځای کوي. Configure Rate Limiter: # config/packages/security.yaml security: firewalls: main: login_throttling: max_attempts: 3 Verification: هڅه وکړئ چې په چټکۍ سره د غلط پاسورډ سره 4 ځله لاسلیک کړئ. د 4th هڅه به د غلطی، د چیک څخه حتی د ډاټاټا ته نږدې مخنیوی. 429 Too Many Requests د پروګرامک لنډول (د ثبت کولو وروسته د اتومات لنډول) کله چې یو کاروونکي ثبت کوي، دوی ته د خپل پاسورډ ته دوبارہ ورکولو ته اړتیا ده بد UX. تاسو کولی شئ دوی په پروګرام کې د خونديتوب مسلکي کارولو په کارولو سره لاسلیک کړئ. namespace App\Controller; use App\Entity\User; use Doctrine\ORM\EntityManagerInterface; use Symfony\Bundle\FrameworkBundle\Controller\AbstractController; use Symfony\Bundle\SecurityBundle\Security; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\HttpFoundation\Response; use Symfony\Component\PasswordHasher\Hasher\UserPasswordHasherInterface; use Symfony\Component\Routing\Attribute\Route; class RegistrationController extends AbstractController { #[Route('/register', name: 'app_register', methods: ['GET', 'POST'])] public function register( Request $request, UserPasswordHasherInterface $passwordHasher, EntityManagerInterface $entityManager, Security $security ): Response { if ($request->isMethod('POST')) { $email = $request->request->get('email'); $password = $request->request->get('password'); $user = new User(); $user->setEmail($email); $user->setPassword($passwordHasher->hashPassword($user, $password)); $entityManager->persist($user); $entityManager->flush(); return $security->login($user,'security.authenticator.form_login.main'); } return $this->render('registration/register.html.twig'); } } Verification: په خپل فورمه کې یو نوی کارونکي ثبت کړئ. په یاد ولرئ چې تاسو فورا ته د ډیزاین بورډ ته لیږدول کیږي او پروفایل تاسو ته د تصدیق په توګه ښودل کیږي. د مزاحمت کاروونکو بلاک کول (User Checkers) که تاسو د ډاټاټا کې یو کاروونکي مخکښ کړئ، دوی ممکن هم په لاسلیک کې وي که دوی د سیشن فعال وي. د فعال سیشنونو لپاره هر غوښتنلیک پر چلول کیږي. UserChecker namespace App\Security; use App\Entity\User; use Symfony\Component\Security\Core\Exception\CustomUserMessageAccountStatusException; use Symfony\Component\Security\Core\User\UserCheckerInterface; use Symfony\Component\Security\Core\User\UserInterface; class UserEnabledChecker implements UserCheckerInterface { public function checkPreAuth(UserInterface $user): void { if (!$user instanceof User) { return; } if ($user->isDeleted()) { throw new CustomUserMessageAccountStatusException('Your account has been deleted.'); } } public function checkPostAuth(UserInterface $user): void { if (!$user instanceof User) { return; } if ($user->isSuspended()) { throw new CustomUserMessageAccountStatusException('Your account is suspended.'); } } } Configuration: Symfony په اتوماتيک ډول د کلاسونو implementing tags که څه هم، تاسو باید په ځانګړي ډول په Firewall کې د دې لنډول وکړئ. UserCheckerInterface security: firewalls: main: lazy: true provider: app_user_provider user_checker: App\Security\UserEnabledChecker Verification: د ګټور کاروونکي په توګه ثبت کړئ. manually change their د پرچون په ډاټاټا کې. د پاڼه تازه کړئ. تاسو باید په چټکۍ سره لاسلیک کړئ او د غلطی پیغام سره د لاسلیک پاڼه ته رامینځته کړئ. is_suspended true د انټرنېټ (Switch User) اجازه ورکړئ admin ته د نورو کاروونکو ته د ستونزو ډبګ کولو لپاره "کوي". Configuration: security: firewalls: main: switch_user: true role_hierarchy: ROLE_ADMIN: [ROLE_ALLOWED_TO_SWITCH] Restrict Target Users (Optional but Recommended): تاسو معمولا نه غواړئ چې یو Admin د یو Super Admin فحش کړي. . Event Listener namespace App\EventListener; use Symfony\Component\EventDispatcher\Attribute\AsEventListener; use Symfony\Component\Security\Core\Exception\AccessDeniedException; use Symfony\Component\Security\Http\Event\SwitchUserEvent; #[AsEventListener(event: SwitchUserEvent::class, method: 'onSwitchUser')] class SwitchUserListener { public function onSwitchUser(SwitchUserEvent $event): void { $targetUser = $event->getTargetUser(); if ($targetUser !== null && in_array('ROLE_SUPER_ADMIN', $targetUser->getRoles())) { throw new AccessDeniedException('Cannot impersonate Super Admins.'); } } } Verification: لکه څنګه چې admin، وګورئ؟ . د وسایلو بار باید "Impersonating" ښيي. د پلټنې لپاره مراجعه وکړئ ?_switch_user=_exit. _switch_user=someuser@example.com _switch_user=someuser@example.com د Expressions سره پیچلي لاسرسي کنترول ځینې وختونه، ROLE_ADMIN په access_control کې کافی نه ده. تاسو اړتیا لرئ د منطق لکه "Admins from IP 10.0.0.1" یا "د کاروونکو سره د ځانګړي مخکښ". security: access_control: - { path: ^/api, roles: ROLE_USER } - { path: ^/admin/sensitive, allow_if: "is_granted('ROLE_ADMIN') and request.getClientIp() in ['127.0.0.1', '::1']" } Verification: چمتو کړئ د یو بل IP څخه (یا په ټسټ کې د IP سره مینه ورکړئ). دا باید د لاسرسي انکار کړئ حتی که تاسو . /admin/sensitive ROLE_ADMIN د واقعیتونو له لارې د خوندیتوب audit logging د خوندیتوب غیر بشپړ دی د نښلیدو پرته. تاسو باید د بریالیتوب لاس رسی، ناکامۍ او د لاس رسی د واقعاتو لګولو. namespace App\EventSubscriber; use Psr\Log\LoggerInterface; use Symfony\Component\EventDispatcher\EventSubscriberInterface; use Symfony\Component\Security\Http\Event\InteractiveLoginEvent; use Symfony\Component\Security\Http\Event\LoginFailureEvent; use Symfony\Component\Security\Http\SecurityEvents; readonly class SecurityAuditSubscriber implements EventSubscriberInterface { public function __construct(private LoggerInterface $securityLogger) {} public static function getSubscribedEvents(): array { return [ SecurityEvents::INTERACTIVE_LOGIN => 'onLoginSuccess', LoginFailureEvent::class => 'onLoginFailure', ]; } public function onLoginSuccess(InteractiveLoginEvent $event): void { $user = $event->getAuthenticationToken()->getUser(); $this->securityLogger->info('User Login Success', [ 'username' => $user->getUserIdentifier(), 'ip' => $event->getRequest()->getClientIp(), ]); } public function onLoginFailure(LoginFailureEvent $event): void { $this->securityLogger->warning('User Login Failure', [ 'ip' => $event->getRequest()->getClientIp(), 'error' => $event->getException()->getMessage(), 'passport' => $event->getPassport()?->getUser()->getUserIdentifier(), ]); } } Verification: ستاسو د روزنې فایل (tail -f var/log/dev.log) او یو login ترسره کړئ. تاسو به د تصدیق واقعیت لپاره د جوړ شوی JSON روزنې ورژن وګورئ. د پایلو د Symfony امنیت برخې اوږدې مودې د فریم ورک کې د پیچلي ترین برخو په توګه شهرت لري. که څه هم، لکه څنګه چې موږ په دغو د ده نمونې کې څیړلي، دا پیچليتیا په مستقیم ډول د granular کنترول او د شرکت په کچه انعطاف لري. په Symfony 7.4 کې، امنیت نه یوازې د یو URL ته غیرقانوني لاس رسی څخه مخنیوی کوي. دا د ګرځنده کارن تجربو جوړولو په اړه ده - که څه هم د جادو لینکونو له لارې چې رطوبت کموي، Impersonation چې د ملاتړ ټیمونو وړاندیز کوي، یا د نرخ محدودونکي چې په سمه توګه ستاسو د زیربنا ساتنه کوي. د معياري form_login څخه بهر او د Voters، custom UserCheckers لکه وسایلو په لټه کې، تاسو د خونديتوب منطق څخه ستاسو د کنټرولرونو څخه وټاکئ او د سپارښتنې وړ کلاسونو ته وټاکئ. دا د مدرن پی ایچ پی پراختیا اصلي فلسفه پیروی کوي: کڅوړه. ستاسو د کنټرولرونه ټانک وي، ستاسو د سوداګرۍ منطق پاک وي، او ستاسو د خونديتوب سیاستونه د سخت کوډ شوي شرایطي چیکونو په پرتله د تکرار وړ ملکیتونه وي. لکه څنګه چې تاسو د دغو نمونې ترسره کړئ، یاد وکړئ چې امنیت یو ځانګړتیا نه دی چې تاسو په پای کې اضافه کړئ؛ دا یو معمولي معياري دی چې تاسو له پیل څخه جوړ کړئ. تاسو کولی شئ په GitHub کې د بشپړ پیژندلو او د پروژې پرمختګ پیژندل کړئ: [ ] Source Code: https://github.com/mattleads/SecurityPatterns https://github.com/mattleads/SecurityPatterns Let’s Connect! که تاسو دا ګټور لرو یا د پیژندنې په اړه پوښتنو لري، زه غواړم له تاسو څخه پوه شي. موږ په تماس کې وي او د دې پلیټ فارمونو په اړه خبرې وکړي: LinkedIn: [https://www.linkedin.com/in/matthew-mochalkin/] د ټیټیټ (Twitter): [https://x.com/MattLeads] د تلیفون: [https://t.me/MattLeads] د GitHub: [https://github.com/mattleads] https://www.linkedin.com/in/matthew-mochalkin/ https://x.com/MattLeads https://t.me/MattLeads https://github.com/mattleads