Принудительная повторная аутентификация пользователя в Symfony

Question

Принудительная повторная аутентификация пользователя в Symfony

0

Я разрабатываю веб-сайт с участком и пользовательским уровнем. члены admin могут получить доступ к области, где они могут просматривать, добавлять и изменять некоторые конфиденциальные данные.

Чтобы добавить слой защиты на эту группу страниц, я хотел бы попросить пользователей их логин и пароль перед тем, как перейти на домашнюю страницу запрещенной зоны, даже если они уже вошли в систему.

Как я могу это сделать? в symfony doc я ничего не нашел о второй аутентификации пользователей.

ᴄʀᴏᴢᴇᴛ 05 март 2015, в 18:32

Источник

Теги:

php

security

authentication

symfony

2 ответа

0

Я бы избежал второй проверки подлинности... Я лучше работать с уровнями ограничений (роли пользователя)... FOSUserBundle уже предоставляет всю необходимую функциональность

Nickolaus 05 март 2015, в 14:52

0

Я уже использую пользовательские роли, но я хотел добавить вторую аутентификацию, потому что, поскольку люди могут хранить свой пароль в браузере, каждый, кто имеет доступ к компьютеру, может войти в систему с правами администратора и доступом к конфиденциальным данным. Кроме того, если администратор зайдет на общедоступный компьютер и забудет выйти из системы, следующий пользователь получит доступ к запретной зоне без необходимости ввода пароля.
ᴄʀᴏᴢᴇᴛ 05 март 2015, в 16:48
1

Вы можете установить токен аутентификации как недействительный после определенного времени ожидания ... потому что со вторым слоем входа в систему у вас будут те же проблемы, с которыми вы столкнетесь, если будете просто их вкладывать
Nickolaus 05 март 2015, в 16:52
0

вторая аутентификация предотвратит вторую проблему (пользователь забудет выйти из системы), и если я autocomplete="off" в поля второй формы, браузер не должен предварительно заполнять форму
ᴄʀᴏᴢᴇᴛ 05 март 2015, в 16:58
0

autocomplete = "off" не помешает кому-либо войти в систему с сохраненными учетными данными ... Как говорится, он просто предотвращает автозаполнение
Nickolaus 05 март 2015, в 17:03
0

о, я думал, что сохраненные учетные данные были замечены как автозаполнения
ᴄʀᴏᴢᴇᴛ 05 март 2015, в 17:13

Показать ещё 3 комментария

Ещё вопросы

Я уже использую пользовательские роли, но я хотел добавить вторую аутентификацию, потому что, поскольку люди могут хранить свой пароль в браузере, каждый, кто имеет доступ к компьютеру, может войти в систему с правами администратора и доступом к конфиденциальным данным. Кроме того, если администратор зайдет на общедоступный компьютер и забудет выйти из системы, следующий пользователь получит доступ к запретной зоне без необходимости ввода пароля.
Вы можете установить токен аутентификации как недействительный после определенного времени ожидания ... потому что со вторым слоем входа в систему у вас будут те же проблемы, с которыми вы столкнетесь, если будете просто их вкладывать
вторая аутентификация предотвратит вторую проблему (пользователь забудет выйти из системы), и если я autocomplete="off" в поля второй формы, браузер не должен предварительно заполнять форму
autocomplete = "off" не помешает кому-либо войти в систему с сохраненными учетными данными ... Как говорится, он просто предотвращает автозаполнение
о, я думал, что сохраненные учетные данные были замечены как автозаполнения

Derick F · Accepted Answer · 2015-03-05T14-58-00.000Z

Что вы ищете здесь: IS_AUTHENTICATED_REMEMBERED и IS_AUTHENTICATED_FULLY. Если вы помните мне функциональность, вы можете установить, что сеанс истекает через 30 минут до часа (или какой-либо промежуток времени, который, как вы считаете, в порядке). Когда сеанс разыгрывается, в областях администрирования, если вы проверяете подлинность полностью, они будут попросили войти в систему, если они посещают какое-либо место с более низким баром (например, с подтверждением подлинности), они все равно будут отображаться. Это в основном то, что делает амазонка, когда вы пытаетесь получить доступ к странице настроек пользователя. Конечно, вы вошли в систему и можете добавлять вещи в свою корзину, но как только вы попытаетесь получить доступ к своим конфиденциальным данным, вы должны повторно зарегистрироваться.

Также, как я уже упоминал, вы можете вручную аннулировать токен
Я думаю, что этот метод должен быть отличным, спасибо вам обоим.