SEGURIDAD DE LA ACCIÓN

Con Symfony podemos controlar quién puede acceder a una acción concreta, utilizando para ello las herramientas de identificación de usuarios que el framework nos provee.

Una acción segura sólo podrá ser ejecutada por un usuario registrado y que tenga la acreditación para ello.

  • Las acciones seguras requieren que los usuarios estén autenticados.
  • Las credenciales son privilegios de seguridad agrupados bajo un nombre y que permiten organizar la seguridad en grupos.
  1. ver:
  2. is_secure: off # Todos los usuarios pueden ejecutar la acción "ver"
  3.  
  4. modificar:
  5. is_secure: on # La acción "modificar" es sólo para usuarios autenticados
  6.  
  7. borrar:
  8. is_secure: on # Sólo para usuarios autenticados
  9. credentials: admin # Con credencial "admin"
  10.  
  11. all:
  12. is_secure: off # off es el valor por defecto

 

Lo que sucede cuando un usuario trata de acceder una acción restringida depende de sus credenciales:

  • Si el usuario está autenticado y tiene las credenciales apropiadas, entonces la acción se ejecuta.
  • Si el usuario no está autenticado, es redireccionado a la acción de login.
  • Si el usuario está autenticado, pero no posee las credenciales apropiadas, será redirigido a la acción segura por defecto.

Las páginas login y secure son bastante simples, por lo que seguramente será necesario personalizarlas. Se puede configurar que acciones se ejecutan en caso de no disponer de suficientes privilegios en el archivo settings.yml de la aplicación cambiando el valor de las propiedades:

  1. all:
  2. .actions:
  3. login_module: default
  4. login_action: login
  5.  
  6. secure_module: default
  7. secure_action: secure

 

OTORGANDO ACCESO

Los métodos utilizados para permitir acceso a una acción segura se encuentran en el objeto sfUser. El estado identificado se establece con setAuthenticated() y se puede comprobar con isAuthenticated():

  1. <?php
  2.  
  3. class miCuentaActions extends sfActions
  4. {
  5. public function executeLogin($peticion)
  6. {
  7. if ($peticion->getParameter('login') == 'valor')
  8. {
  9. $this->getUser()->setAuthenticated(true);
  10. }
  11. }
  12.  
  13. public function executeLogout()
  14. {
  15. $this->getUser()->setAuthenticated(false);
  16. }
  17. }

Las credenciales son un poco más complejas de tratar, ya que se pueden verificar, agregar, quitar y borrar:

  1. <?php
  2.  
  3. class miCuentaActions extends sfActions
  4. {
  5. public function executeEjemploDeCredenciales()
  6. {
  7. $usuario = $this->getUser();
  8.  
  9. // Agrega una o más credenciales
  10. $usuario->addCredential('parametro');
  11. $usuario->addCredentials('parametro', 'valor');
  12.  
  13. // Verifica si el usuario tiene una credencial
  14. echo $usuario->hasCredential('parametro'); => true
  15.  
  16. // Verifica si un usuario tiene una de las credenciales
  17. echo $usuario->hasCredential(array('parametro', 'valor')); => true
  18.  
  19. // Verifica si el usuario tiene ambas credenciales
  20. echo $usuario->hasCredential(array('parametro', 'valor'), true); => true
  21.  
  22. // Quitar una credencial
  23. $usuario->removeCredential('parametro');
  24. echo $usuario->hasCredential('parametro'); => false
  25.  
  26. // Elimina todas las credenciales (útil en el proceso de logout)
  27. $usuario->clearCredentials();
  28. echo $usuario->hasCredential('valor'); => false
  29. }
  30. }

Las credenciales se pueden utilizar también para mostrar contenido autenticado en una plantilla:

  1. <?php
  2.  
  3. <ul>
  4. <li><?php echo link_to('seccion1', 'content/seccion1') ?></li>
  5. <li><?php echo link_to('seccion2', 'content/seccion2') ?></li>
  6. <?php if ($sf_user->hasCredential('seccion3')): ?>
  7. <li><?php echo link_to('seccion3', 'content/seccion3') ?></li>
  8. <?php endif; ?>
  9. </ul>

 

CREDENCIALES COMPLEJAS

a sintaxis YAML utilizada en el archivo security.yml permite restringir el acceso a usuarios que tienen una combinación de credenciales, usando asociaciones de tipo AND y OR. Con estas combinaciones, se pueden definir flujos de trabajo y sistemas de manejo de privilegios muy complejos — como por ejemplo, un sistema de gestión de contenidos (CMS) cuya parte de gestión sea accesible solo a usuarios con credencial admin, donde los artículos pueden ser editados solo por usuarios con credenciales de editor y publicados solo por aquellos que tienen credencial de publisher:

  1. editarArticulo:
  2. credentials: [ admin, editor ] # admin AND editor
  3.  
  4. publicarArticulo:
  5. credentials: [ admin, publisher ] # admin AND publisher
  6.  
  7. gestionUsuarios:
  8. credentials: [[ admin, superuser ]] # admin OR superuser

Cada vez que se añade un nuevo nivel de corchetes, la lógica cambia entre AND y OR. Así que se pueden crear combinaciones muy complejas de credenciales, como la siguiente:

  1. credentials: [[root, [supplier, [owner, quasiowner]], accounts]]
  2. # root OR (supplier AND (owner OR quasiowner)) OR accounts

 

CONFIGURACIÓN DEL MÓDULO

Algunas características de los módulos dependen de la configuración. Para modificarlas, se debe crear un archivo module.yml en el directorio config/ y se deben definir parámetros para cada entorno (o en la sección all: para todos los entornos).

  1. all: # Para todos los entornos
  2. enabled: true
  3. is_internal: false
  4. view_class: sfPHP
  5. partial_view_class: sf

El parámetro enabled permite desactivar todas las acciones en un módulo. En ese caso, todas las acciones se redireccionan a la acción module_disabled_module/module_disabled_action (tal y como se define en el archivo settings.yml).

El parámetro is_internal permite restringir la ejecución de todas las acciones de un módulo a llamadas internas. Esto es útil por ejemplo para acciones de envío de correos electrónicos que se deben llamar desde otras acciones para enviar mensajes de e-mail, pero que no se deben llamar desde el exterior.

El parámetro view_class define la clase de la vista. Debe heredar de sfView. Sobreescribir este valor permite utilizar otros sistemas de generación de vistas con otros motores de plantillas, como por ejemplo Smarty.

El parámetro partial_view_class define la clase de la vista que se emplea para los elementos parciales de este módulo. La clase indicada debe heredar de sfPartialView.