Symfony2 http_basic 安全性拒绝有效凭据

Question

我使用 Symfony Standard 2.0.0BETA1 并尝试配置与 本书章节

security:
encoders:
    Symfony\Component\Security\Core\User\User: plaintext

providers:
    main:
        users:
            foo: { password: testing, roles: ROLE_USER }

firewalls:
    main:
        pattern:    /.*
        http_basic: true
        logout:     true

access_control:
    - { path: /.*, role: ROLE_USER }

问题是，当我尝试打开一个页面并提交用户名“foo”和密码“testing”时，它只是循环并无限地要求我提供凭据或显示错误页面。

重现问题的步骤：

1. 从 http://symfony.com 复制安全配置/doc/current/book/security/overview.html#configuration 并将其粘贴到 security.yml 文件
2. 刷新应用程序主页
3. 输入有效凭据

预期行为是查看主页，但显示凭据提示。

有谁知道为什么会发生这种情况以及如何解决它？

Answer 1

http 基本身份验证在 Apache 下使用 PHP 作为 cgi/fastCGI 被破坏

有一个解决方法：

app_dev.php

if( !isset($_SERVER['PHP_AUTH_USER']) )
{
    if (isset($_SERVER['HTTP_AUTHORIZATION']) && (strlen($_SERVER['HTTP_AUTHORIZATION']) > 0))
    {
        list($_SERVER['PHP_AUTH_USER'], $_SERVER['PHP_AUTH_PW']) = explode(':', base64_decode(substr($_SERVER['HTTP_AUTHORIZATION'], 6)));
        if( strlen($_SERVER['PHP_AUTH_USER']) == 0 || strlen($_SERVER['PHP_AUTH_PW']) == 0 )
        {
            unset($_SERVER['PHP_AUTH_USER']);
            unset($_SERVER['PHP_AUTH_PW']);
        }
    }
}

web/.htaccess

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization},L] 
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteRule ^(.*)$ app.php [QSA,L]
</IfModule>

来源：symfony github问题

Answer 2

问题是您将对 /.*（这意味着所有路径）的访问权限限制为仅限具有 ROLE_USER 角色的用户。

假设您的登录路径是 /login，用户尝试访问任何其他路径并被重定向到登录路径。登录路径 (/login) 将与访问控制模式 /.* 匹配。然后，该用户将被拒绝访问，因为他现在不具有 ROLE_USER 角色。安全组件将再次将用户重定向到登录表单，以便他可以进行身份​​验证以获取受限制的角色，并将用户重定向到登录表单进行身份验证等等。

这是避免此问题的简单解决方案。您可以通过激活匿名用户配置和新的访问控制项来允许匿名用户访问登录表单。在firewalls配置中的main下方添加以启用匿名用户：

security:
    firewalls:
        main:
            anonymous: true

并添加新的访问控制项以允许匿名用户访问/login模式：

access_control:
    - { path: /login, role: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: /.*, role: ROLE_USER }

这里的顺序很重要，因为规则是：第一个匹配的路径获胜。因此，/login 路径必须位于其他路径 /.* 的模式之上。这应该可以解决您的重定向循环问题。

Symfony 关于安全性的文档现在正在重写，并将更详细地讨论这个问题。它位于 symfony-docs github 存储库中 安全 分支。

问候，
马特

Answer 3

当前版本（Symfony 版本 2.1.8）仍然出现同样的问题。

这是因为 Apache + PHP 作为 FastCGI 处理 HTTP 身份验证变量的特殊方式。

至少，当前版本的修复比以前更简单（与@Teo.sk的答案相比），并且这些说明可以直接硬编码为文件中的注释 vendor/symfony/symfony/src框架的 /Symfony/Component/HttpFoundation/ServerBag.php：

/*
* php-cgi under Apache does not pass HTTP Basic user/pass to PHP by default
* For this workaround to work, add these lines to your .htaccess file:
* RewriteCond %{HTTP:Authorization} ^(.+)$
* RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
*
* A sample .htaccess file:
* RewriteEngine On
* RewriteCond %{HTTP:Authorization} ^(.+)$
* RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
* RewriteCond %{REQUEST_FILENAME} !-f
* RewriteRule ^(.*)$ app.php [QSA,L]
*/

简而言之，要修复它，您所要做的就是将以下行添加到框架的 .htaccess 文件中应用程序的 web/ 文件夹：

RewriteCond %{HTTP:Authorization} ^(.+)$
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]

新信息 (2013-05-01)：现在我使用的是 Symfony 版本 2.2.1，为了使修复生效，我必须将这两行代码添加到以下 web/.htaccess 行的正下方：

RewriteEngine On

Answer 4

你不需要修改你的SymfonyProject，你还需要改变apache2配置。

sudoedit /etc/apache2/sites-enabled/[your site].conf

插入

<IfModule mod_rewrite.c>
RewriteEngine On
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization},L] 
RewriteCond %{REQUEST_FILENAME} !-f
RewriteRule ^(.*)$ app.php [QSA,L]

保持重新启动 apache2

享受:)

Answer 5

我使用我的边界路线：

 - { path: /correspondencia/recepcion/login, role: IS_AUTHENTICATED_ANONYMOUSLY }
 - { path: /correspondencia/recepcion, role: ROLE_ADMIN }

没有最后一个斜杠
错误的

/correspondencia/recepcion/

好

/correspondencia/recepcion