symfony4在api密钥身份验证程序中获取标头

Question

我想将登录控制器中获得的API令牌作为HTTP头传递，以允许ApiKeyAuthentificator使用$apiKey=$request读取它-

我曾经使用查询参数使其工作，但这似乎不安全。

• 在登录控制器

在返回reponse之前，我设置了一个apikey超文本传输协议头：

$response = $this->redirectToRoute('home');                                  
$response->headers->set('apikey', $data->token);                 
return $response;

• 在家庭控制器

成功重定向到home后，如果我var_dump标头，标头没有设置并且请求-

但是，在重定向之后，如果我打开网络检查器并查找来自登录控制器的POST请求，则会设置头。

但是在home的GET请求中没有设置头，我想这就是为什么我不能使用$apiKey=$request在home控制器中获取头的原因-

• 在ApiKeyAuthentificator中

同样的问题。无法使用$apiKey=$request访问HTTP标头-

如果我设置了一个cookie，我设法在家庭控制器和Authentificator中得到它，为什么我不能有一个标题？

如何使用symfony请求/响应正确设置和访问HTTP标头，并使其可从Authentificator访问？




Answer 1

您在此处误解了HTTP请求/响应标头的目的。标头本身并不像您正在做的那样，以这种原始形式设计，以指示任何类型的会话或持久性。HTTP本身是非常无状态的，没有任何请求与随之而来的任何其他请求相关。

您的应用程序可以，也正在，在其响应中提供一个标题，但实际上没有任何理由说明为什么web浏览器应该在将来的请求中再次包含相同的标题，以便链接请求。只有定制的HTTP客户机/实现（如定制的本机移动/平板电脑应用程序）才会故意在HTTP头中直接包含API密钥/令牌。（如果没有强大的Javascript实现来处理所有的导航，任何标准的web浏览器都无法做到这一点。）

饼干正是你在这里需要的。通常您也不需要担心它们，因为PHP有会话变量，您可以随心所欲地存储这些变量，使用单个cookie将未来的请求与一组会话变量相关联。（会话标识符cookie，通常命名为PHPSESSID。）

一旦登录控制器验证了用户是真实的，它就应该在PHP的会话变量中存储与用户经过身份验证的会话相关的任何内容。一旦完成，cookie将被传递到客户端网络浏览器，无需您采取进一步行动。

--

不过，这种解释只是概念性的。Symfony作为一个非常完整的框架，已经为您考虑了这个概念。注释//或者如果要使用“apikey”标题，请执行类似操作：主要用于自定义web客户端（应用程序）。如果您的目标是拥有一个定制的客户端HTTP/web客户端，那么您的工作就是记住应用程序内存中其他地方的令牌变量，而这不是HTTP模块中的标准变量。

我认为您可能需要从我链接的文章中特别了解关于在会话中存储身份验证的部分。HTTP客户端将只需要提供一次API密钥。

--

至于安全性，对于任何足够聪明的人来说，HTTP标头并不比查询变量更安全，因为他们知道HTTP请求是如何构造的。说明：这是HTTP的基础知识。这与后变量不比查询变量安全一样。

• 如果您使用的是标准web浏览器，那么唯一的好处就是在地址栏中看不到API密钥，但是您应该为这些客户端使用会话cookie，而不是在每个后续请求中使用API密钥
• 如果您正在为某个应用程序创建自定义web客户机，那么对窥探HTTP流量的人来说，自定义头将是可见的，就像查询变量一样简单

强制执行HTTPS是有效地向流量嗅探器隐藏自定义HTTP标头或查询变量的唯一方法，为请求的每一部分以及后续响应提供完全相同的保护。