La sécurité (de base) et plus

Citation:

---

Envoyé par Michel Rotta

Avec la persistance dans Doctrine 2, tu peux peut-être garder ton objet user, le modifier et faire en flash, tout en le gardant près pour le prochain passage, ce qui va t'éviter une lecture de la base.

Après, il faut exécuter le code... Je n'ai pas retrouvé la notion de filtre de la v1. Je n'ai pas trouvé d'événement à capturer, pourtant, c'est là qui faut chercher à mon avis. Si non, modifie le kernel. Autre possibilité à explorer. A l'initialisation du kernel, il initialise les budles de l'application. Possible qu'en triturant un méthode d'initialisation pour un de tes bundles...

---

Oui c'est vrai ! Mais je pense qu'on peut chercher du côté des "login_check" par exemple, car ce ne sont pas des controllers, mais des sortes de "filtres" qui sont donc appelés avant la recherche d'un controller.

Citation:

---

Je vais tenter ou j etais avant la PR6 : utiliser un "form".

---

Raptor je t'ai envoyé un MP pour que nous mettions en commun nos efforts pour faire fonctionner correctement les formulaires. En suivant le tutorial officiel, je suis donc bloqué à la validation (The option "validator" is required for validating).

Salutations !

Pensez à faire profiter la communauté de vos trouvailles.

Pas de souci.
Des que j ai du temps, je regarde a ca.

Je vais d'abord faire un formulaire de contact avant de remplacer celui du login; ce sera moins ardu.

Citation:

---

Envoyé par Michel Rotta

Pensez à faire profiter la communauté de vos trouvailles.

---

Pas d'inquiétude là-dessus ! En espérant qu'on arrive à trouver la solution :)

En plus, j'ai vu qu il y avait deja un topic pour eventuellement demarrer un article. Avec ce qu on a deja mis dans les differents topic lié a Symfony2, il y a moyen de faire quelque chose!

Voila.
De mon coté la validation fonctionne. Voici:

config.yml (la partie interessante)

Code:

---

1 2 3 4

app.config: validation: { enabled: true, annotations: true } swiftmailer.config: transport: mail

---

ContactForm.php
Rien de special, juste que chez moi EmailField n'existe pas...

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28

namespace Sensio\HelloBundle\Contact;   // src/Sensio/HelloBundle/Contact/ContactForm.php   use Symfony\Component\Form\Form; use Symfony\Component\Form\TextField; use Symfony\Component\Form\TextareaField; //use Symfony\Component\Form\EmailField; use Symfony\Component\Form\CheckboxField;   class ContactForm extends Form { protected function configure() { $this->add(new TextField('subject', array( 'max_length' => 100, 'required' => true, ))); $this->add(new TextareaField('message', array( 'required' => true, ))); $this->add(new TextField('sender')); $this->add(new CheckboxField('ccmyself', array( 'required' => false, ))); } }

---

ContactRequest.php

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29

namespace Sensio\HelloBundle\Contact;   class ContactRequest { /**   * @validation:MaxLength(100)   * @validation:NotBlank   */ protected $subject = 'Subject...';   /**   * @validation:NotBlank   */ protected $message;   /**   * @validation:Email   * @validation:NotBlank   */ protected $sender;   /**   * @validation:AssertType("boolean")   */ protected $ccmyself = false;   protected $mailer;   // suivi des setters et getters + la fonction send

---

HelloController.php
Le souci peut provenir du controller! J'ai ajouté des parametres.

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32

namespace Sensio\HelloBundle\Controller;   use Symfony\Bundle\FrameworkBundle\Controller\Controller; use Sensio\HelloBundle\Contact\ContactRequest; use Sensio\HelloBundle\Contact\ContactForm;   class HelloController extends Controller { public function indexAction($name){ // pas la peine de noter ca, vous l avez deja }   public function contactAction() { // ici j ai ajouté le mailer $contactRequest = new ContactRequest($this->get('mailer')); //ici j ai ajouté l ID du formulaire $form = ContactForm::create($this->get('form.context'),'contact');   // If a POST request, write submitted data into $contactRequest // and validate it $form->bind($this->get('request'), $contactRequest);   // If the form has been submitted and validates... if ($form->isValid()) { $contactRequest->send(); }   // Display the form with the values in $contactRequest return $this->render('HelloBundle:Hello:contact.html.twig', array( 'form' => $form )); } }

---

Et la derniere etape: Supprimer les dossiers "cache/prod" et "cache/dev" pour supprimer les eventuels parametres precedents qui sont remanents!! Ca m'a sauvé la vie plus d une fois.

En effet, "l'erreur" que j'avais commise était de créer un constructeur dans ma classe RegisterForm pour initialiser le nom du formulaire car il était manquant dans la doc :

Code:

---

1 2 3 4 5

public function __construct() { parent::__construct('register'); }

---

Mais c'est normal en fait que ça ait buggé car si on regarde la classe Form :

Code:

---

1 2 3 4 5

public static function create(FormContextInterface $context, $name = null, array $options = array()) { return new static($name, array_merge($context->getOptions(), $options)); }

---

Il me manquait donc le 2ème paramètre du constructeur.

Voilà voilà ! J'attaque la suite :)

Super!

Pas mal de piege mais on fini par y arriver...
Apres tout, c est en rencontrant les pièges qu'on va comprendre (un peu mieux) le fonctionnement de Symfony2.

Bonjour à tous !

Bénie soit la recherche Google qui permet de se rendre compte qu'on est pas seuls à tenter tant bien que mal d'œuvrer avec Symfony2 !

J'essaye depuis ce matin de créer une authentification sur une application créé à partir de la SandBox.

N'ayant jamais développé sur Symfony1 je suis étranger à de nombreux concepts.

Voici mon Config.yml :

Code:

---

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16

security.config: encoders: Symfony\Component\Security\User\User: plaintext providers: password_encoder: plaintext users: admin: { password: admin, roles:[ ROLE_ADMIN, ROLE_USER ] } demo: { password: demo, roles: ROLE_USER } firewalls: main: pattern: /.* http-basic: true logout: true access_control: - { path: /.*, role: ROLE_USER }

---

Ce code me renvoi une erreur :

Code:

---

1 2	Fatal error: Uncaught exception 'InvalidArgumentException' with message 'There is no extension able to load the configuration for "security.config"

---

J'ai bien inclus mon SecurityBundle dans le AppKernel mais cela n'a pas changé mon problème.

J'ai constaté qu'en retirant le '.config', mon erreur était sur le plaintext.

Code:

---

1 2 3 4 5 6 7

security: encoders: Symfony\Component\Security\User\User: plaintext providers:   ....

---

Et voici la nouvelle erreur :

Code:

---

1 2	Fatal error: Uncaught exception 'Symfony\Component\Config\Definition\Exception\InvalidTypeException' with message 'Invalid type for path "security.providers.password_encoder". Expected array, but got "plaintext"

---

Je me demandais si des changements notable avaient eu lieu sur l'authentification ?

Merci d'avance.

Au temps pour moi j'ai résolu mon problème, je n'utilisais pas la doc de la bonne version.

Je suis en train de paramétrer une authentification ORM, puis je ferai via un LDAP si ça intéresse quelqu'un :)

Si tu as besoin d'aide, pas de soucis; j'ai déjà fait la partie par doctrine.

Concernant LDAP, tu vas faire par authentification NTLM?

Je comptais faire la même chose qu'un module CakePhp que j'utilisais jusqu'à présent pour des outils internes.

On passe par des fonctions php_ldap pour vérifier le couple login / mdp, puis si l'user est valide on utilise la base de données pour récupérer ses rôles en fonction de l'outil.

Ca permet de ne pas surcharger le LDAP surtout si on a beaucoup d'outils différents.

Je ne suis pas familier avec le concept du NTLM, si tu as des détails et que ça peut être plus optimisé je suis preneur :)

Oui, LDAP, c'est très intéressant !:P

en fait le protocole NTLM permet d'authentifier l'utilisateur par le navigateur lui-même. Sharepoint utilise cette méthode; je l'avais implémenté pour l'intranet au boulot (mais avec Zend Framework).
Il peut être intéressant de vérifier d'abord par NTLM et de proposer le formulaire d'authentification par LDAP si pas détecté comme utilisateur du domaine.

En fait j'ai un vague projet qui tournera en intranet.

Et dans les demandes il y a de pouvoir limiter les passes supplémentaires si possible. Vu que les cibles sont la plus part sous windows domaine... J'y vois une réponse interagissante.

Sauf que pour l'instant, les essais ne marchent pas sous IE :(

Mais rien a voir avec symfony ou l'authentification.

Effectivement ça peut être pas mal, je vais me pencher dessus alors !

Pour le moment j'essaye de customiser mes messages d'erreur quand je m'authentifie via ORM.

Le soucis c'est que :

Code:

---

$this->get('request')->attributes->has(SecurityContext::AUTHENTICATION_ERROR

---

Est toujours vide, donc je n'arrive pas à m'en servir pour savoir si l'utilisateur s'est trompé de mot de passe.

J'ai trouvé une idée par rapport au Referer, si il provient de _login_check et arrive sur ma page de login c'est forcément que l'accès a été refusé.

Mais ce n'est pas très propre, j'essaye donc de comprendre ce que me renvoie le login.

Autre problème, je voulais passer par un formulaire de type Symfony pour mon login, mais pas possible d'avoir les bons accès.

Quand j'envoyais directement en POST mes données à _login_check, il attendais _username et _password alors que je lui envoyais login[_username] et login[_password].

Vu que c'est là le principe du form context, je suppose qu'il faut modifier la méthode "bind()" du formulaire pour renvoyer mes variables avec des noms différents ?

Si quelqu'un a creusé de ce coté là :)

Sinon j'ai eu du mal à binder une Entité groupe à mon entité User pour faire des groupes contenant plusieurs rôles.

J'ai finis par y arriver avec Doctrine ORM, donc si ça intéresse quelqu'un je mettrai mon code :)

Salut,

Bon, désolé mais je n'ai pas la réponse a ta question car de mon coté ça a marché sans que je fasse rien de particulier...

Par contre je suis carrément intéressé par tes groupes contenant plusieurs rôles...

Donc si tu pouvais le poster ça serait merveilleux.

Et merci de d'être proposé.

A plus. Désolé de pas pouvoir t'aider...

Je ne suis pas sur que cela soit une bonne idée de donner une information trop détaillée a l'utilisateur sur un problème de connexion.

Si, à priori, cela peut sembler intéressant en lui permettant de résoudre rapidement son problème, la réflexion permet de ce dire que cela facilite aussi grandement la vie d'un pirate... ce que l’authentification est sensé compliquer.

En effet, prenons le message : "mauvais mot de passe". Celui-ci veux dire deux choses, une pour l'utilisateur et une pour le pirate. D'une manière évidente cela signifie pour l'utilisateur qu'il s'est trompé dans la saisie du mot de passe, accessoirement, cela dit au pirate que le mot de passe n'est pas le bon. Mais surtout, pour notre ami pirate, cela signifie que le nom de connexion essayé est le bon ! Il n'a donc plus qu'à ce concentrer sur le mot de passe.

Un message plus neutre du genre "Erreur lors de l’authentification" ne fourni pas d'informations sur le pourquoi de l'erreur, ni à notre utilisateur, ni pour notre pirate. Sauf que notre utilisateur disposant de son matricule il aura plus de facilité à identifier une erreur de saisie que le pirate qui présuppose ce même matricule.

Ne jamais oublier que l’authentification à pour première fonction d’empêcher des personnes non autoriser d'accéder à l'application. Les ennuis généré à notre gentil utilisateur ne sont que les conséquences de cette protection de ses données.

Accessoirement, trop d’authentification tue l’authentification. Un utilisateur qui se retrouve avec 5 mots passes différents pour se connecter a ces systèmes professionnels, mots de passes qui changent à des rythmes différents, qui ont des contraintes de création (longueur, mélange de caractère, cycle de changement) différents ne peut les retenir. On peut être sur de retrouver sur son bureau un papier avec les mots de passes, quant ce n'est pas un post'it dur l'écran. Et notre belle sécurité tombe brutalement à l'eau.

C'est pourquoi l'identification par un annuaire X400 est ici particulièrement intéressante.

Désolé pour la longueur de réponse j'ai eu pas mal de boulot à finir depuis la semaine dernière !

Effectivement Michel tu as raison, je n'avais pas réfléchi dans ce sens là.

Je n'ai pas eu beaucoup de temps pour avancer sur mon authentification, je m'y remet en milieu de semaine. Par contre d'ici ce soir je vais essayer de mettre mon code pour les groupes d'utilisateurs !

Donc pour binder un groupe à un utilisateur :

Tout d'abord j'ai fais mon entité User, que j'ai configurée en entier. Cette entitée est reliée à un groupe par la variable $groups.

Code:

---

1 2 3 4 5 6 7 8

/**   * @orm:ManyToMany(targetEntity="Experian\UserBundle\Entity\Groups")   * @orm:JoinTable(name="user_group", * joinColumns={@orm:JoinColumn(name="user_id", referencedColumnName="id")}, * inverseJoinColumns={@orm:JoinColumn(name="group_id", referencedColumnName="id")}   * )   */ protected $groups;

---

Il suffit de faire la jonction entre l'entité User et l'entité Group à cet endroit là. J'utilise une table user_group qui bind une id_user à une id_group.

Si un utilisateur doit faire parti de plusieurs groupes, il sera représenté par plusieurs lignes dans cette table.

Mes Roles sont stockées aussi bien dans la table Users que dans la table Groups, cela permet de donner un rôle ponctuel à un utilisateur sans le changer de groupe.

Dans ma classe User, le getRoles va chercher les rôles de l'utilisateur ainsi que ceux de ses groupes, il merge le tout dans un Array et le rend unique.

A savoir que je stocke mes rôles dans un champ texte ce qui ne me parait pas être le mieux, si quelqu'un a une meilleure idée je suis preneur.