Symfony角色和安全性说明

Question

我正在努力学习Symfony的角色和安全性。我当前的security.yml文件如下所示：

role_hierarchy: 
    ROLE_USER: ROLE_DO_ALMOST_NOTHING
    ROLE_EDITOR: [ ROLE_USER, ROLE_ALLOWED_TO_EDIT ]
    ROLE_CONTRIBUTOR: [ ROLE_EDITOR, ROLE_ALLOWED_TO_CONTRIBUTE ]
    ROLE_ADMIN: [ ROLE_CONTRIBUTOR ]
    ROLE_SUPER_ADMIN: [ ROLE_ADMIN, ROLE_ALLOWED_TO_DO_ANY_THING ]

access_control: 
    - { path: ^/admin, roles: ROLE_USER }
    - { path: ^/admin/editor, roles: ROLE_ADMIN }
    - { path: ^/editor, roles: ROLE_EDITOR }
    - { path: ^/contributor, roles: ROLE_CONTRIBUTOR }
    - { path: ^/super, roles: ROLE_SUPER_ADMIN }

我正在为我的用户使用这个设置：

providers:
    in_memory:
        memory: 
            users:
                person:
                    password: password!
                    roles: 'ROLE_USER'
                admin: 
                    password: password2
                    roles: 'ROLE_ADMIN'

这是我的问题。我一直缺少安全性的访问控制部分，但是，角色标记为ROLE\u admin的路径^/admin/editor将允许用户person访问路由，即使该用户没有ROLE\u admin的角色。我想知道这是否是因为路由本身与^admin路由由同一控制器共享？或者有人看到我的代码哪里出了问题，因为用户可以访问他们不应该访问的路径。

其他路线：

- { path: ^/editor, roles: ROLE_EDITOR }
- { path: ^/contributor, roles: ROLE_CONTRIBUTOR }
- { path: ^/super, roles: ROLE_SUPER_ADMIN }

按预期工作。

Answer 1

问题是，在匹配管理员/编辑器之前，您正在匹配/admin，而这只需要角色\u用户角色。如果您有：

- { path: ^/admin, roles: ROLE_USER }

匹配以/admin开头的所有内容，包括admin/Editor。一旦Symfony找到合适的路线，它就不会检查第一条路线。所以您的^/admin/Editor/检查永远不会到达。试试这个吧：

access_control: 
    - { path: ^/admin/editor, roles: ROLE_ADMIN }
    - { path: ^/admin, roles: ROLE_USER }
    - { path: ^/editor, roles: ROLE_EDITOR }
    - { path: ^/contributor, roles: ROLE_CONTRIBUTOR }
    - { path: ^/super, roles: ROLE_SUPER_ADMIN }

作为一个很好的经验法则，应该将最细粒度/特定的路线放在第一位。任何次级路线应始终位于主路线之前。