Как различать роли/группы пользователей Symfony в каталоге socket.io

Ответ 1

У меня возникла идея просто зашифровать и отправить пользовательские данные на сервер node, а затем расшифровать его там. Только два сервера знают секретные ключи, поэтому даже если клиент получает зашифрованные данные, он не может сделать запрос с ним для другого клиента.

Это основная идея.

Как бы я это сделал? Я бы использовал что-то вроде JWT, чтобы просто отправить userId в приложение node. Не нужно зашифровывать, потому что я забочусь только о сигнатуре jwt, чтобы убедиться, что запрос действительно выдан реальным пользователем.

После этого, используя userId, я бы сделал вызов на стороне сервера в php-приложение для проверки ролей пользователя.

Разработать:

• Приложение node и приложение php будут использовать общий секрет для подписывания токена JWT.
• Приложение PHP выведет сгенерированный токен во внешний интерфейс.
• Клиент socket.io отправит токен как часть аутентификации в приложение node.

Как обращаться с запретом

• сохранить список открытых сокетов с их идентификатором пользователя
• создайте конечную точку webservice в приложении nodejs, которая может hanlde "запретить" запросы из приложения php.
• когда такой запрос принимается приложением nodejs, найдите сокет на основе идентификатора пользователя и закройте соединение.

Ответ 2

Я обычно создаю службу SecurityAccessManager для проверки ролей пользователей с помощью voters звонков (я могу предоставить пример, если необходимо), чтобы проверить конкретные права, такие как "этот пользователь может обновить эту конкретную запись?"

Config

company.navigation.security_access:
    class: Company\NavigationBundle\Services\SecurityAccessManager
    arguments: 
        - @security.authorization_checker            
        - @security.token_storage

Сервисный код

namespace Company\NavigationBundle\Services;
use Symfony\Component\Security\Core\Authorization\AuthorizationCheckerInterface;
use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorage;
use Symfony\Component\Security\Core\Exception\AccessDeniedException;

class SecurityAccessManager
{
    private $authorizationChecker;
    private $tokenStorage;
    private $debug;

    public function __construct(
            AuthorizationCheckerInterface $authorizationChecker,
            TokenStorage $tokenStorage)
    {      
        $this->authorizationChecker = $authorizationChecker;
        $this->tokenStorage = $tokenStorage;   
        $this->debug = true;
    }

    // *************************************************************************
    // User
    // *************************************************************************

    public function getUser()
    {
        return $this->tokenStorage->getToken()->getUser();        
    }

    public function getUserId()
    {
        return $this->tokenStorage->getToken()->getUser()->getId();        
    }

    public function isAuthenticatedUser()
    {    
       return $this->authorizationChecker->isGranted('IS_AUTHENTICATED_REMEMBERED');
    }     

    // *************************************************************************
    // Roles checker
    // *************************************************************************

    public function isAdmin()
    {
        if($this->authorizationChecker->isGranted('ROLE_ADMIN') !== true) {
            return false;
        } else {
            return true;           
        }
    }    

    public function checkRightAdmin()
    {
        if($this->authorizationChecker->isGranted('ROLE_ADMIN') !== true) {
            throw new AccessDeniedException('Unauthorised access! '.($this->debug ? __FUNCTION__ : null));
        }

        return true;           
    }   

    public function checkUserHasRightToEditPost($postId)
    {
        // Check if user has right to modify the post
        if ($this->authorizationChecker->isGranted('is_user_has_right_to_edit_post', $postId) === false) {
            throw new AccessDeniedException('Unauthorised access! '.($this->debug ? __FUNCTION__ : null));
        }

        return true;
    }  
}

Затем в действиях ваших контроллеров вы можете проверить права пользователя

namespace Company\YourBundle\Controller;

use Symfony\Bundle\FrameworkBundle\Controller\Controller;

class YourBunbleController extends Controller
{   
    /**
     * Get the service
     * @return \Company\NavigationBundle\Services\SecurityAccessManager
     */
    private function getService()
    {        
        return $this->get('company.navigation.security_access');
    }  

    public function updatePostAction(Request $request, $postId)
    {   
        // Throw 403 if user has no admin rights
        $this->getService()->checkRightAdmin();

        // Throw 403 if user has no rights to update the post
        $this->getService()->checkUserHasRightToEditPost();

        //OK, you can update database
        ...
    }
}