为collectionOperations实现ApiResource安全筛选器规则

Question

是否有可能在实体上实现ApiResource安全性，以便没有实体id的GET请求（即集合操作）只返回与当前已验证用户匹配的项（或为此目的，必须针对每个实体检查的任何其他规则）？

我到目前为止的实现：

/**
 * @ORM\Entity(repositoryClass=UserRepository::class)
 * @ORM\Table(name="`user`")
 * @ApiResource(
 *     attributes={"security"="is_granted('ROLE_USER')"},
 *     collectionOperations={"get"={"security"="is_granted('ROLE_ADMIN') or object == user"}},
 *     itemOperations={"get"={"security"="is_granted('ROLE_ADMIN') or object == user"}},
 *     )
 */
class User implements UserInterface
{
    /**
     * @ORM\Id
     * @ORM\GeneratedValue
     * @ORM\Column(type="integer")
     */
    private ?int $id;

   // ...

}

上面的代码适用于项操作，但不适用于集合运算符，即假设用户ID。%1（非管理员）已通过身份验证：

• get/api/user/1返回用户#1数据200 OK（根据需要）
• get/api/user/2返回403禁止（根据需要，用户1应该无法获取其他用户的数据）。
• get/api/user返回403禁止（不像所希望的那样，所希望的行为是返回一个仅包含传递规则的实体的列表，即用户#1的数据）。

Answer 1

对此使用教义扩展。这不是一个安全问题，您不希望限制对资源的访问，而是希望修改返回的结果。

例如，匆忙修改链接单据上的示例：

final class CurrentUserExtension implements QueryCollectionExtensionInterface
{
    private $security;

    public function __construct(Security $security)
    {
        $this->security = $security;
    }

    public function applyToCollection(QueryBuilder $queryBuilder, QueryNameGeneratorInterface $queryNameGenerator, string $resourceClass, string $operationName = null): void
    {
        if (User::class !== $resourceClass
            || $this->security->isGranted('ROLE_ADMIN')
            || null === $user = $this->security->getUser())
        {
            return;
        }

        $rootAlias = $queryBuilder->getRootAliases()[0];
        $queryBuilder->andWhere(sprintf('%s.id = :current_user', $rootAlias));
        $queryBuilder->setParameter('current_user', $user->getId());
    }

}