Symfony2 api 的身份验证（用于移动应用程序使用）

Question

我为我的 Symfony2 应用程序开发了一个 REST api。该 API 将由移动应用程序使用。大部分功能都是在当前经过身份验证的用户的上下文中完成的，即：

$this->container->get('security.context')->getToken()->getUser()

我希望移动应用程序能够像传统的 Web 表单一样发布到登录操作。如果凭证检查出来，那么 Symfony2 就会执行它的操作并设置一个 cookie（这甚至可以在访问 api 的移动应用程序的上下文中工作吗？）。然后，来自该手机的 api 请求（希望）将与本机 symfony2 security.context 服务容器一起使用。

这行得通吗？在将 API 提供给移动开发人员之前，我需要弄清楚这个授权流程。如果可能的话，我显然希望能够使用本机 security.context 服务，而不是为使用 xAuth 或类似内容的 api 构建新的身份验证系统。

谢谢

Answer 1

是的，Marc，jules 指出的一个示例只是为了向您展示如何使用 http_basic 测试身份验证。

要实现 RESTful，您应该避免使用 cookie，否则就将其称为 API。关于您的身份验证系统的安全性，您可以使用 https 上的 http_digest 或更安全的签名请求，使用 api_key/api_secret 方法。

看看这里 http://wiki.zanox.com/en/RESTful_API_authentication

Answer 2

我认为你应该做到无状态（没有cookie）。

我遇到了同样的问题，我做了什么：

• 在你的 app/config/security.yml 中，添加：

security:
    ...
    firewalls:
        rest_webservice:
            pattern: /webservice/rest/.*
            stateless: true
            http_basic:
                provider: provider_name
    ...

• 现在你可以向你的网络服务发出请求：

class AuthTest extends WebTestCase 
{
    public function testAuthenticatedWithWebservice() 
    {
        $client = $this->createClient();

        // not authenticated
        $client->request('GET', '/webservice/rest/url');
        $this->assertEquals(401, $client->getResponse()->getStatusCode());

        // authenticated
        $client->request('GET', '/webservice/rest/url', array(), array(), array(
            'PHP_AUTH_USER' => 'username', 
            'PHP_AUTH_PW' => 'password'
        ));
        $this->assertEquals(200, $client->getResponse()->getStatusCode());
    }
}

Answer 3

这里是如何创建自定义身份验证提供程序很棒的文章。

要通过 api 对 Symfony2 应用程序进行身份验证，您需要使用：
WS 安全