是否可以通过编程方式查看 URL/路由是否受到防火墙保护？

Question

我遇到的情况是，如果用户尝试访问受保护的 URL 并且未经过身份验证/授权，我需要运行一些代码。

默认情况下，Symfony 通过将用户重定向或转发到登录表单来处理未经身份验证的用户。如果请求方法是 POST，我想防止这种情况发生，而是回显 JSON 对象。

我能想到的处理此问题的最佳方法是创建一个自定义侦听器，用于侦听 kernel.request 事件并检查两件事：

• 检查请求方法是否为 POST
• 检查用户是否完全同意 。

如果它是 POST 请求，并且用户未经过完全身份验证，我将回显 JSON 对象

但我的侦听器（预期）会针对所有请求触发 - 我想将其限制为仅检查请求是否针对受防火墙保护的 URL。是否可以通过编程方式检查这一点？

我也有一个挥之不去的怀疑，有一种更简单的方法可以解决这个问题，但无法弄清楚，所以如果有人有任何提示，我很想听听他们:)

编辑
@Problematic - 仅检查防火墙请求的原因是因为我有一些未防火墙的请求，如果我的代码被触发，我将收到上述 JSON 对象而不是请求的真实响应。

现在，如果我尚未登录并向 api/get/something （位于防火墙后面）发出 POST 请求，Symfony 将返回描述登录页面的 HTML。相反，我只想回显类似 {error: 'User is notauthored'} 的内容。但我只希望这种情况发生在 POST 请求上。

Answer 1

我想我的处理方式是错误的。我想知道某个 URL 是否位于防火墙后面，但我认为我应该尝试查明当前用户是否已获得该请求的授权。从本质上讲，知道用户被拒绝访问某个 URL 意味着该 URL 必须位于防火墙后面，否则访问不可能被拒绝。

记住这一点，我能够得到我想要的最终结果。一旦您意识到安全机制是如何工作的，事情就非常简单了...

• Symfony\Component\Security\Http\Firewall 监听
  kernel.request 事件
• 防火墙将调用在 security.yml 中注册的许多事件侦听器
• 如果出现任何安全违规（即用户尝试在未登录的情况下访问某些内容）， 检测到时，会引发 AccessDeniedException 并调度 kernel.exception 事件。
• Symfony/Component/Security/Http/Firewall/ExceptionListener 侦听事件并触发其 onKernelException 方法，该方法决定下一步是什么。在我的例子中，它将启动身份验证过程

由于启动身份验证过程是我想要避免的，因此我编写了自己的事件侦听器，该事件侦听器在 Symfony 的 ExceptionListener 之前拦截 kernel.exception做。我给我的事件监听器的优先级为1。

这是我写的方法：

public function handleException(GetResponseForExceptionEvent $event) {
        $exception = $event->getException();
        $request = $event->getRequest();
        if ($request->getMethod() == 'POST') {
            if ($exception instanceof AccessDeniedException) {
                $response = new Response({err: 'not logged in'});
                $event->setResponse($response);
            }
        }
    }

只要用户未授权，并且请求方法是POST，就会返回一个JSON对象（这也会停止事件传播）而不是登录页面的 HTML。否则，kernel.exception 的其他监听器将会做出反应，Symfony 可以继续其业务。

因此，最初的问题仍然没有得到解答，但我认为可以通过检查用户是否有权访问某个操作来完成。 Symfony\Component\Security\Core\Authorization\AccessDecisionManager 看起来对此很有帮助。

编辑
我不知道此方法是否仅处理未登录的用户。我还没有测试过它，但我认为如果（已登录）用户尝试访问需要他们尚未被授予的角色的操作。如果这导致问题，我会尝试修改它以使用 Symfony\Component\Security\Core\Authentication\AuthenticationTrustResolver 的 isFullFledged($token) 方法来仅关心未登录的用户。