Паски в Симфонії 7.4: як побудувати майбутнє без паролів

У сучасну епоху Інтернету, паролів більше не вистачає. Вони є основною причиною понад 80% порушень даних, що підлягають фішингу, повторному використанню та страшним правилам складності. Passkeys are the future. Застосовується в інтернеті з використанням веб-сторінок ( ) і Ваш пристрій (iPhone, Android, Windows Hello, YubiKey) зберігає приватний ключ, в той час як сервер бачить тільки публічний ключ. WebAuthn FIDO2 У цьому всеосяжному керівництві ми Використовуючи симфонію і офіційний Ми повністю усунемо поняття пароля з нашої програми. немає зворотного зв'язку, немає посилання "перезавантажити пароль". will build a 100% passwordless authentication system web-auth/webauthn-symfony-bundle Основна архітектура та вимоги Приватний ключ ніколи не залишає пристрій Apple користувача (iPhone, Mac, iPad), а публічний ключ зберігається на сервері Symfony. Технічний стак PHP: 8.2 або вище (Необхідно для останніх WebAuthn libs) Симфонія: 7.4 LTS База даних: PostgreSQL, MySQL або SQLite для dev (для зберігання джерел довіреності) Основна бібліотека: web-auth/webauthn-symfony-bundle Основні пакети Виконайте наступну команду, щоб встановити необхідні залежності: composer require web-auth/webauthn-symfony-bundle:^5.2 \ web-auth/webauthn-stimulus:^5.2 \ symfony/uid:^7.4 Ми використовуємо через AssetMapper (який забезпечує відмінні функції обгортання для API веб-браузера WebAuthn), тому що Apple Passkeys вимагає взаємодії переднього кінця, який найкраще обробляється через в сучасному середовищі Symfony, або ви можете використовувати модулі React/Vue. Браузер / Браузер Stimulus controller Браузер / Браузер Схема бази даних: джерело акредитації Саме тут наша програма різко відрізняється від традиційного додатка Symfony. Стандартні суб'єкти користувача Symfony не обладнані для зберігання метаданих Passkey (наприклад, AAGUID або алгоритми Cose публічного ключа). Користувацький суб'єкт Наші Підприємства реалізують Особливо відсутнім є . User Symfony\Component\Security\Core\User\UserInterface PasswordAuthenticatedUserInterface namespace App\Entity; use App\Repository\UserRepository; use Doctrine\ORM\Mapping as ORM; use Symfony\Component\Security\Core\User\UserInterface; use Symfony\Component\Uid\Uuid; use Symfony\Component\Validator\Constraints as Assert; #[ORM\Entity(repositoryClass: UserRepository::class)] #[ORM\Table(name: '`user`')] class User implements UserInterface { #[ORM\Id] #[ORM\GeneratedValue] #[ORM\Column] private ?int $id = null; #[ORM\Column(length: 255, unique: true)] private ?string $userHandle = null; #[ORM\Column(length: 180, unique: true)] #[Assert\NotBlank] #[Assert\Email] private ?string $email = null; public function __construct() { $this->userHandle = Uuid::v4()->toRfc4122(); } ... } Суб'єкт PublicKeyCredentialSource Один користувач може мати кілька ключів (наприклад, Face ID на своєму телефоні, Touch ID на своєму Mac, YubiKey на своєму ключовому ланцюзі). Створювати Ця суб'єктність повинна бути здатна переводити в і з рідного пакета Об’єкт src/Entity/PublicKeyCredentialSource.php Webauthn\PublicKeyCredentialSource Важливо, щоб ми зберегли Невдача в цьому руйнує атестаційні дані, необхідні, якщо ви коли-небудь потребуєте високобезпечних корпоративних ключів. TrustPath namespace App\Entity; use App\Repository\PublicKeyCredentialSourceRepository; use Doctrine\ORM\Mapping as ORM; use Webauthn\PublicKeyCredentialSource as WebauthnSource; #[ORM\Entity(repositoryClass: PublicKeyCredentialSourceRepository::class)] #[ORM\Table(name: 'webauthn_credentials')] class PublicKeyCredentialSource extends WebauthnSource { #[ORM\Id] #[ORM\GeneratedValue] #[ORM\Column] private ?int $id = null; public function getId(): ?int { return $this->id; } } ТІ CredentialSourceRepository Також необхідно виконати а Ці реалізації . CredentialSourceRepository Webauthn\Bundle\Repository\PublicKeyCredentialSourceRepository namespace App\Repository; use App\Entity\PublicKeyCredentialSource; use Doctrine\Bundle\DoctrineBundle\Repository\ServiceEntityRepository; use Doctrine\Persistence\ManagerRegistry; use Symfony\Component\ObjectMapper\ObjectMapperInterface; use Webauthn\Bundle\Repository\PublicKeyCredentialSourceRepositoryInterface; use Webauthn\Bundle\Repository\CanSaveCredentialSource; use Webauthn\PublicKeyCredentialSource as WebauthnSource; use Webauthn\PublicKeyCredentialUserEntity; class PublicKeyCredentialSourceRepository extends ServiceEntityRepository implements PublicKeyCredentialSourceRepositoryInterface, CanSaveCredentialSource { public function __construct(ManagerRegistry $registry, private readonly ObjectMapperInterface $objectMapper) { parent::__construct($registry, PublicKeyCredentialSource::class); } public function findOneByCredentialId(string $publicKeyCredentialId): ?WebauthnSource { return $this->findOneBy(['publicKeyCredentialId' => $publicKeyCredentialId]); } public function findAllForUserEntity(PublicKeyCredentialUserEntity $publicKeyCredentialUserEntity): array { return $this->findBy(['userHandle' => $publicKeyCredentialUserEntity->id]); } public function saveCredentialSource(WebauthnSource $publicKeyCredentialSource): void { $entity = $this->findOneBy(['publicKeyCredentialId' => base64_encode($publicKeyCredentialSource->publicKeyCredentialId)]) ?? $this->objectMapper->map($publicKeyCredentialSource, PublicKeyCredentialSource::class); $this->getEntityManager()->persist($entity); $this->getEntityManager()->flush(); } } Бунт WebAuthn покладається на абстрактні інтерфейси для пошуку та зберігання користувачів та акредитацій. КористувачіРедагувати UserRepository впроваджує PublicKeyCredentialUserEntityRepositoryInterface. Оскільки ми хочемо, щоб пакет автоматично обробляв створення користувачів під час реєстрації passkey, ми також впроваджуємо та . CanRegisterUserEntity CanGenerateUserEntity namespace App\Repository; use App\Entity\User; use Doctrine\Bundle\DoctrineBundle\Repository\ServiceEntityRepository; use Doctrine\Persistence\ManagerRegistry; use Symfony\Component\Uid\Uuid; use Webauthn\Bundle\Repository\CanGenerateUserEntity; use Webauthn\Bundle\Repository\CanRegisterUserEntity; use Webauthn\Bundle\Repository\PublicKeyCredentialUserEntityRepositoryInterface; use Webauthn\Exception\InvalidDataException; use Webauthn\PublicKeyCredentialUserEntity; class UserRepository extends ServiceEntityRepository implements PublicKeyCredentialUserEntityRepositoryInterface, CanRegisterUserEntity, CanGenerateUserEntity { public function __construct(ManagerRegistry $registry) { parent::__construct($registry, User::class); } public function saveUserEntity(PublicKeyCredentialUserEntity $userEntity): void { $user = new User(); $user->setEmail($userEntity->name); $user->setUserHandle($userEntity->id); $this->getEntityManager()->persist($user); $this->getEntityManager()->flush(); } public function generateUserEntity(?string $username, ?string $displayName): PublicKeyCredentialUserEntity { return new PublicKeyCredentialUserEntity( $username ?? '', Uuid::v4()->toRfc4122(), $displayName ?? $username ?? '' ); } ... Конфігурація: Bridging Symfony і Apple Apple вимагає конкретних Це ідентифікує вашу програму в iCloud Keychain користувача. “Relying Party” (RP) WebAuthn Конфігурація Створення або оновлення config/packages/webauthn.yaml: webauthn: allowed_origins: ['%env(WEBAUTHN_ALLOWED_ORIGINS)%'] credential_repository: 'App\Repository\PublicKeyCredentialSourceRepository' user_repository: 'App\Repository\UserRepository' creation_profiles: default: rp: name: '%env(RELYING_PARTY_NAME)%' id: '%env(RELYING_PARTY_ID)%' request_profiles: default: rp_id: '%env(RELYING_PARTY_ID)%' WebAuthn неймовірно суворий щодо доменів. Не можна використовувати на Щоб забезпечити переносимість нашої програми в різних середовищах, ми визначаємо налаштування довіреної сторони (RP) в файлів . example.com phishing-example.com .env Відкритий І додати : .env or .env.local ###> web-auth/webauthn-symfony-bundle ### RELYING_PARTY_ID=localhost RELYING_PARTY_NAME="My Application" WEBAUTHN_ALLOWED_ORIGINS=localhost ###< web-auth/webauthn-symfony-bundle ### У виробництві , має бути вашим точним кореневим доменом (наприклад, ) і . . . RELYING_PARTY_ID example.com WebAuthn requires a secure HTTPS context Browsers only exempt localhost for development Потік реєстрації (створення) Паскей реєстрація є двоступінчастою рукою: Виклик: сервер генерує унікальний виклик і «Опції створення». Атестація: браузер (Safari/Chrome) запитує користувача про FaceID/TouchID, підписує виклик і відправляє «Атестаційний об'єкт» назад на сервер. The Frontend: Стимул і CSRF Безпека є найважливішим завданням, хоча є по суті стійким до фішингу, ваші кінцеві пункти все ще вразливі до традиційних Ми будемо передавати вбудовані токени Symfony CSRF через заголовки в нашому . WebAuthn Cross-Site Request Forgery (CSRF) fetch() calls Припустимо, що у вас є стандарт Помічник (як що витягує токен з мета-тега або прихованого введення), ми вводимо його в наш контролер Passkey. CSRF csrf_protection_controller.js import { Controller } from '@hotwired/stimulus'; import { startRegistration, startAuthentication } from '@simplewebauthn/browser'; import { generateCsrfHeaders } from './csrf_protection_controller.js'; export default class extends Controller { static values = { optionsUrl: String, resultUrl: String, isLogin: Boolean } connect() { console.log('Passkey controller connected! 🔑'); } async submit(event) { event.preventDefault(); const username = this.element.querySelector('[name="username"]')?.value; if (!this.isLoginValue && !username) { alert('Please provide a username/email'); return; } const csrfHeaders = generateCsrfHeaders(this.element); try { // 1. Fetch options const response = await fetch(this.optionsUrlValue, { method: 'POST', headers: { 'Content-Type': 'application/json', ...csrfHeaders }, body: username ? JSON.stringify({ username: username, displayName: username }) : '{}' }); if (!response.ok) { const errorData = await response.json().catch(() => ({})); throw new Error(errorData.errorMessage || 'Failed to fetch WebAuthn options from server'); } const options = await response.json(); // 2. Trigger Apple's Passkey UI (Create or Get) let credential; if (this.isLoginValue) { credential = await startAuthentication({ optionsJSON: options }); } else { credential = await startRegistration({ optionsJSON: options }); } // 3. Send result back to verify const result = await fetch(this.resultUrlValue, { method: 'POST', headers: { 'Content-Type': 'application/json', ...csrfHeaders }, body: JSON.stringify(credential) }); if (result.ok) { window.location.reload(); } else { const errorText = await result.text(); alert('Authentication failed: ' + errorText); } } catch (e) { console.error(e); alert('WebAuthn process failed: ' + e.message); } } } маршрутизація Ви повинні забезпечити тип маршрутизації для Існує - створюється : webauthn config/routes/webauthn_routes.yaml webauthn_routes: resource: . type: webauthn Інтеграція пакетів безпеки Щоб дозволити користувачам входити зі своїми Для цього необхідно конфігурувати . Passkey Symfony Guard (now the Authenticator system) В config/packages/security.yaml виберіть: security: providers: app_user_provider: entity: class: App\Entity\User property: email firewalls: dev: pattern: ^/(_(profiler|wdt)|css|images|js)/ security: false main: lazy: true provider: app_user_provider webauthn: authentication: routes: options_path: /login/passkey/options result_path: /login/passkey/result registration: enabled: true routes: options_path: /register/passkey/options result_path: /register/passkey/result success_handler: App\Security\AuthenticationSuccessHandler failure_handler: App\Security\AuthenticationFailureHandler logout: path: app_logout access_control: - { path: ^/dashboard, roles: ROLE_USER } Управління невдачами аутентифікації Тому що Церемонії включають Якщо запити з фронталу, стандартний перенаправлення Symfony на невдачі (наприклад, намагаючись зареєструвати електронну пошту, яка вже існує) буде тихо поглинати браузером, що призводить до розчаровуючого досвіду користувача. WebAuthn AJAX fetch() Використовуємо звичаї Це повертає чистоту Відповідь на запит AJAX. AuthenticationFailureHandler 401 Unauthorized JSON Створювати : src/Security/AuthenticationFailureHandler.php namespace App\Security; use Symfony\Component\HttpFoundation\JsonResponse; use Symfony\Component\HttpFoundation\RedirectResponse; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\HttpFoundation\Response; use Symfony\Component\Routing\Generator\UrlGeneratorInterface; use Symfony\Component\Security\Core\Exception\AuthenticationException; use Symfony\Component\Security\Http\Authentication\AuthenticationFailureHandlerInterface; use Symfony\Component\Security\Http\SecurityRequestAttributes; readonly class AuthenticationFailureHandler implements AuthenticationFailureHandlerInterface { public function __construct(private UrlGeneratorInterface $urlGenerator) {} public function onAuthenticationFailure(Request $request, AuthenticationException $exception): RedirectResponse|JsonResponse { if ($request->getContentTypeFormat() === 'json' || $request->isXmlHttpRequest()) { return new JsonResponse([ 'status' => 'error', 'errorMessage' => $exception->getMessageKey(), ], Response::HTTP_UNAUTHORIZED); } // Store the error in the session $request->getSession()->set(SecurityRequestAttributes::AUTHENTICATION_ERROR, $exception); return new RedirectResponse($this->urlGenerator->generate('app_login')); } } Успішний менеджер аутентифікації Оскільки Passkeys часто обходить традиційну форму входу, потрібно визначити, куди користувач йде після successful “Handshake.” namespace App\Security; use Symfony\Component\HttpFoundation\RedirectResponse; use Symfony\Component\HttpFoundation\Request; use Symfony\Component\Routing\Generator\UrlGeneratorInterface; use Symfony\Component\Security\Core\Authentication\Token\TokenInterface; use Symfony\Component\Security\Http\Authentication\AuthenticationSuccessHandlerInterface; readonly class AuthenticationSuccessHandler implements AuthenticationSuccessHandlerInterface { public function __construct(private UrlGeneratorInterface $urlGenerator) {} public function onAuthenticationSuccess(Request $request, TokenInterface $token): RedirectResponse { return new RedirectResponse($this->urlGenerator->generate('app_dashboard')); } } Перевірка та Apple-специфічні Gotchas HTTPS є обов'язковим: браузери не будуть викривати navigator.credentials на незахищених джерелах (за винятком localhost). RP ID Match: Переконайтеся, що id в webauthn.yaml точно відповідає вашому домену. Якщо ви перебуваєте на dev.example.com, ваш RP ID повинен бути example.com. Apple AAGUID: пристрої Apple часто повертають «Zero AAGUID» (всі нулі).Якщо ваша бібліотека налаштована на суворе підтвердження автентифікації за допомогою метаданих, вам може знадобитися дозволити «Невідомі автентифікатори» у вашій конфігурації. Висновок Перехід на Apple Passkeys з Symfony 7.4 - це не просто оновлення безпеки; це значне поліпшення вашого досвіду використання. , і складні вимоги до символів, ви збільшуєте конверсію та збереження користувачів. password managers “forgot password” emails, Як старший розробник або лідер, вашим пріоритетом є забезпечення того, щоб це впровадження залишалося підтримуваним. і атрибути PHP 8.x, ви переконайтеся, що ваша кодова база залишається ідіоматичною і готовою до майбутніх випусків Symfony LTS. WebAuthn-Symfony-Bundle Резюме контрольного списку для розгортання SSL/TLS: Переконайтеся, що ваше виробниче середовище використовує дійсний сертифікат (Passkeys не вдасться на простому HTTP). Стратегія RP ID: Вирішіть, чи хочете ви підтримувати субдомени, налаштуючи свій релейний ідентифікатор партії на домен верхнього рівня. Методи резервного копіювання: Завжди надайте вторинний спосіб входу (наприклад, Magic Links або традиційний пароль) для користувачів на старих пристроях, які не підтримують FIDO2. Валідація метаданих: Для додатків з високою безпекою розглянемо можливість надання послуги web-auth/webauthn-metadata-service для перевірки того, що Passkey дійсно походить з пристрою Apple, а не з несанкціонованого емулятора. Ви можете знайти повну реалізацію і стежити за прогресом проекту на GitHub: [ ] Source Code: https://github.com/mattleads/PasskeysAuth https://github.com/mattleads/PasskeysAuth Давайте поєднаємося! Якщо ви знайшли це корисним або у вас є питання щодо реалізації, я хотів би почути від вас. LinkedIn: [https://www.linkedin.com/in/matthew-mochalkin/] X (Twitter): [https://x.com/MattLeads] Телеграма: [https://t.me/MattLeads] GitHub: [https://github.com/mattleads] https://www.linkedin.com/in/matthew-mochalkin/ https://x.com/MattLeads https://t.me/MattLeads https://github.com/mattleads