symfony 批处理操作安全性

Question

我的 security.yml：

all:
  is_secure: true

new:
  credentials: [add_ticker_source]
edit:
  credentials: [edit_ticker_source]
delete: 
  credentials: [delete_ticker_source]
batchDelete: //I don't know whether it is correct. Should it be batch_delete?
  credentials: [delete_ticker_source]
batch_delete: 
  credentials: [delete_ticker_source]

index: 
  is_secure: false

在我的 generator.yml 中，我添加了

  list:
    batch_actions:
      _delete: {credentials: delete_ticker_source}

然后注释了最后两行并在浏览器中打开了列表视图。因此，在浏览器的列表视图中，我可以在批处理操作的下拉列表中看到删除。现在，我取消了它们的注释并且没有刷新浏览器。我从列表视图中选择了一些元素，在批量下拉列表中选择了删除，然后点击go。这些项目会立即被删除。这是否意味着批量删除不安全？或者有人可以通过嗅探来删除吗？

我什至尝试在取消注释后清除缓存，但随后元素也被删除。

PS：不，我登录的用户没有 delete_ticker_source 凭据（如网络调试栏所示）。

Answer 1

我尝试了你的设置，但我对这种意想不到的行为感到好奇。所以我在代码中冲浪，最后我发现为了确保 batchDelete 操作的安全，我们必须以这种方式将设置放在 generator.yml 中，config 下> actions：

config:
  actions:
    batchDelete:
      credentials: [user_permission]

显然user_permission对你来说是delete_ticker_source。