用户身份验证的用户名和密码

身份验证提供者将尝试验证用户根据他们提供的凭证。通常这些都是用户名和密码。大多数web应用程序中存储用户的用户名和用户密码的哈希加上一个随机生成的盐。这意味着获取的平均验证将由盐和散列密码的用户数据存储、散列密码用户刚刚提供的(例如,使用一个登录表单)与盐和比较来确定给定的密码是有效的。

这个功能是提供的DaoAuthenticationProvider。获取用户的数据UserProviderInterface,使用一个PasswordEncoderInterface创建一个哈希密码并返回一个验证令牌如果密码是有效的:

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17日18 19 20 21日22日23日24日25日26日27 28 29

使用ob娱乐下载\组件\安全\核心\身份验证\提供者\DaoAuthenticationProvider;使用ob娱乐下载\组件\安全\核心\编码器\EncoderFactory;使用ob娱乐下载\组件\安全\核心\用户\InMemoryUserProvider;使用ob娱乐下载\组件\安全\核心\用户\UserChecker;美元userProvider=新InMemoryUserProvider ([“管理”= > [/ /密码是“foo”“密码”= >“5 fz2z8qika7utz4bykoc + GsReLf569mSKDsfods6LYQ8t + a8EW9oaircfMpmaLbPBh4FOBiiFyLfuZmTSUwzZg = =”,“角色”= > [“ROLE_ADMIN”]]]);对一些额外的检查:/ /帐户启用,锁定,过期等。美元userChecker=新UserChecker ();/ /数组的密码编码器(见下文)美元encoderFactory=新EncoderFactory (…);美元daoProvider=新DaoAuthenticationProvider (美元userProvider,美元userChecker,“secured_area”,美元encoderFactory);美元daoProvider- >验证(美元unauthenticatedToken);

密码编码器工厂

的DaoAuthenticationProvider使用一个编码器工厂来创建一个密码编码器为给定类型的用户。这允许您为不同类型的用户使用不同的编码策略。默认的EncoderFactory编码器接收一个数组:

1 2 3 4 5 6 7 8 9 10 11 12 13 14

使用Acme\实体\LegacyUser;使用ob娱乐下载\组件\安全\核心\编码器\EncoderFactory;使用ob娱乐下载\组件\安全\核心\编码器\MessageDigestPasswordEncoder;使用ob娱乐下载\组件\安全\核心\用户\用户;美元defaultEncoder=新MessageDigestPasswordEncoder (“sha512”,真正的,5000年);美元weakEncoder=新MessageDigestPasswordEncoder (md5的,真正的,1);美元编码器=[用户::类= >美元defaultEncoder,LegacyUser::类= >美元weakEncoder,/ /……];美元encoderFactory=新EncoderFactory (美元编码器);

每个编码器应该实现PasswordEncoderInterface或者用一个数组类和一个参数关键,允许编码器工厂构造编码器只有当它是必要的。

创建一个自定义密码编码器

有很多内置的密码编码器。但是如果你需要创建自己的,它需要遵循以下规则:

1. 这个类必须实现PasswordEncoderInterface(你也可以扩展BasePasswordEncoder);

2. 的实现encodePassword ()和isPasswordValid ()必须首先确保密码不是很长,即密码长度不超过4096个字符。这是出于安全考虑(见cve - 2013 - 5750),您可以使用isPasswordTooLong ()这张支票的方法:

   1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21日22日23日

   使用ob娱乐下载\组件\安全\核心\编码器\BasePasswordEncoder;使用ob娱乐下载\组件\安全\核心\异常\BadCredentialsException;类FoobarEncoder扩展BasePasswordEncoder{公共函数encodePassword(美元生,美元盐){如果(美元这- >isPasswordTooLong (美元生)){扔新BadCredentialsException (无效的密码。);}/ /……}公共函数isPasswordValid(美元编码,美元生,美元盐){如果(美元这- >isPasswordTooLong (美元生)){返回假;}/ /……}}

使用密码编码器

当getEncoder ()方法与用户密码编码器工厂叫做对象作为它的第一个参数,它将返回类型的编码器PasswordEncoderInterface应该使用哪一个编码这个用户的密码:

1 2 3 4 5 6 7 8 9 10 11 12 13 14

/ / Acme \实体\ LegacyUser实例美元用户=……;/ /提交的密码,例如当注册美元plainPassword=……;美元编码器=美元encoderFactory- >getEncoder (美元用户);/ /返回weakEncoder美元(见上图)美元encodedPassword=美元编码器- >encodePassword (美元plainPassword,美元用户- >getSalt ());美元用户- >向setPassword (美元encodedPassword);/ /……保存这个用户

现在,当你想要检查是否提交的密码(例如,当试图登录)是正确的,您可以使用:

1 2 3 4 5 6 7 8 9 10 11

/ /获取Acme \ \ LegacyUser实体美元用户=……;/ /提交的密码,如登录表单美元plainPassword=……;美元validPassword=美元编码器- >isPasswordValid (美元用户- >getPassword (),/ /编码的密码美元plainPassword,/ /提交的密码美元用户- >getSalt ());

身份验证成功和失败事件

当供应商对用户进行身份验证security.authentication.success事件分派。但要注意——这一事件可能火,例如,每一个请求如果你有基于会话的身份验证,如果always_authenticate_before_granting是启用或调用AccessListener之前如果没有身份验证令牌。看到security.interactive_login下面如果你需要做一些当用户实际上登录。

当一个提供者尝试验证但失败(即抛出AuthenticationException),一个security.authentication.failure事件分派。你可以听的security.authentication.failure事件,例如,为了记录失败的登录尝试。

安全事件

的security.interactive_login事件触发后用户积极登录到你的网站。重要的是要区分这一行动和非交互式验证方法,如:

• 基于您的会话的身份验证。
• 使用HTTP基本身份验证header。

你可以听的security.interactive_login事件,例如,为了给用户一个受欢迎的flash消息每次登录。

的security.switch_user每次你激活触发事件switch_user防火墙侦听器。

的ob娱乐下载\组件\安全\ Http\事件\ DeauthenticatedEvent事件被触发时,令牌已经deauthenticated因为用户改变时,它能帮助你做一些清理工作。