Доступ к менеджеру решений

Так как принятие решения о том, авторизирован ли пользователь производить определённое действие, может быть достаточно сложным процессом, сам стандартный AccessDecisionManager зависит от нескольких избирателей и выносит финальный вердикт, основываясь на всех голосах (положительных, отрицательных или нейтральных), которые он получил, и заданной стратегии.

Применение доступных опций в деталях:

1
2
3
4
5
6
7
8
9

use Symfony\Component\Security\Core\Authorization\AccessDecisionManager;

// экземпляры Symfony\Component\Security\Core\Authorization\Voter\VoterInterface
$voters = [...];

// экземпляр Symfony\Component\Security\Core\Authorization\Strategy\AccessDecisionStrategyInterface
$strategy = ...;

$accessDecisionManager = new AccessDecisionManager($voters, $strategy);

Стратегии

Следуюшие стратегии входят в пакет компонента:

AffirmativeStrategy (по умолчанию)

предоставляет доступ как только существует хоть один избиратель, гарантирующий доступ;

ConsensusStrategy

проедоставить доступ, если есть больше избирателей, предоставляющих доступ, чем его запрещающих; если голоса распределились поровну, решение примнимается исходя из параметра конструктора $allowIfEqualGrantedDeniedDecisions, который по умолчанию true.

UnanimousStrategy

предоставлять доступ только, если ни один из избирателей его не запретил.

PriorityStrategy

предоставляет или запрещает доступ по первому избирателю, который не воздерживается;

5.1

Версия стратегии "priority" была представлена в Symfony 5.1.

Если все избиратели удержались от голосования, решение основывается на параметре конструкторв $allowIfAllAbstainDecisions, который поддерживается всеми встроенными стратегиями, и по умолчанию false.

Если ни одна из встроенных стратегий не подходит, может быть предоставлена пользовательская стратегия, Стратегия получит поток голосов и может вернуться, как только будет достаточно голосов для принятия решения.

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

/**
 * Всегда выбирает третьего избирателя.
 */
class ThirdVoterStrategy implements AccessDecisionStrategyInterface
{
    public function decide(\Traversable $results): bool
    {
        $votes = 0;
        foreach ($results as $result) {
            if (++$votes === 3) {
                return $result === VoterInterface::ACCESS_GRANTED;
            }
        }

        return false;
    }
}

Избиратели

Избиратели являются экземплярами класса VoterInterface, что означает, что они должны реализовывать несколько методов, что позволяет менеджеру решений использовать их:

vote(TokenInterface $token, $object, array $attributes)

этот метод будет проводить голосование и возвращать значение, равное одной из констант класса VoterInterface, т.е. VoterInterface::ACCESS_GRANTED, VoterInterface::ACCESS_DENIED или VoterInterface::ACCESS_ABSTAIN;

Компонент Безопасность содержит несколько стандартных избирателей, которые охватывают множество случаев применения:

1
2
3
4
5
6
7
8
9
10
11
12
13

use Symfony\Component\Security\Core\Authentication\AuthenticationTrustResolver;

$trustResolver = new AuthenticationTrustResolver();

$authenticatedVoter = new AuthenticatedVoter($trustResolver);

// instance of Symfony\Component\Security\Core\Authentication\Token\TokenInterface
$token = ...;

// any object
$object = ...;

$vote = $authenticatedVoter->vote($token, $object, ['IS_AUTHENTICATED_FULLY']);

1
2
3
4
5

use Symfony\Component\Security\Core\Authorization\Voter\RoleVoter;

$roleVoter = new RoleVoter('ROLE_');

$roleVoter->vote($token, $object, array('ROLE_ADMIN'));

1
2
3
4
5
6
7
8
9
10

use Symfony\Component\Security\Core\Authorization\Voter\RoleHierarchyVoter;
use Symfony\Component\Security\Core\Role\RoleHierarchy;

$hierarchy = [
    'ROLE_SUPER_ADMIN' => ['ROLE_ADMIN', 'ROLE_USER'],
];

$roleHierarchy = new RoleHierarchy($hierarchy);

$roleHierarchyVoter = new RoleHierarchyVoter($roleHierarchy);

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25

use Symfony\Component\ExpressionLanguage\Expression;
use Symfony\Component\Security\Core\Authorization\Voter\ExpressionVoter;

// Symfony\Component\Security\Core\Authorization\ExpressionLanguage;
$expressionLanguage = ...;

// экземпляр Symfony\Component\Security\Core\Authentication\AuthenticationTrustResolverInterface
$trustResolver = ...;

// Symfony\Component\Security\Core\Authorization\AuthorizationCheckerInterface
$authorizationChecker = ...;

$expressionVoter = new ExpressionVoter($expressionLanguage, $trustResolver, $authorizationChecker);

// экземпляр Symfony\Component\Security\Core\Authentication\Token\TokenInterface
$token = ...;

// любой объект
$object = ...;

$expression = new Expression(
    '"ROLE_ADMIN" in role_names or (not is_anonymous() and user.isSuperAdmin())'
);

$vote = $expressionVoter->vote($token, $object, [$expression]);

Роли

Роли - это строки, которые предоставляют выражения определённому праву пользователя (например, "редактировать пост в блоге", "создать инвойс"). Вы можете свободно выбирать эти строки. Единственное требование - они должны начинаться с префикса ROLE_ (например, ROLE_POST_EDIT, ROLE_INVOICE_CREATE).

Использование менеджера решений

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

use Symfony\Component\HttpFoundation\RequestMatcher;
use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorage;
use Symfony\Component\Security\Http\AccessMap;
use Symfony\Component\Security\Http\Firewall\AccessListener;

$accessMap = new AccessMap();
$tokenStorage = new TokenStorage();
$requestMatcher = new RequestMatcher('^/admin');
$accessMap->add($requestMatcher, ['ROLE_ADMIN']);

$accessListener = new AccessListener(
    $tokenStorage,
    $accessDecisionManager,
    $accessMap,
    $authenticationManager
);

1
2
3
4
5
6
7
8
9
10
11
12

use Symfony\Component\Security\Core\Authorization\AuthorizationChecker;
use Symfony\Component\Security\Core\Exception\AccessDeniedException;

$authorizationChecker = new AuthorizationChecker(
    $tokenStorage,
    $authenticationManager,
    $accessDecisionManager
);

if (!$authorizationChecker->isGranted('ROLE_ADMIN')) {
    throw new AccessDeniedException();
}