我通过 ApiKey 进行授权，如果没有提供授权数据，我想得到 401 Unauthorized，如果授权数据无效，我想得到 403 Forbidden .但是我在这两种情况下都遇到了 500 Internal Server Error。

security.yml:

security:

    providers:
        api_key_user_provider:
            entity:
                class: RestBundle:RestUser
                property: apikey

    firewalls:
        rest_api_area:
            pattern: ^/api
            stateless: true
            rest_auth:
                header: x-apikey
            provider: api_key_user_provider

    access_control:
        - { path: ^/api, roles: ROLE_REST_USER }

RestUserListener.php:

class RestUserListener implements ListenerInterface
{
    protected $tokenStorage;
    protected $authenticationManager;
    private $header;

    function __construct(TokenStorageInterface $tokenStorage, AuthenticationManagerInterface $authenticationManager, $header)
    {
        $this->tokenStorage = $tokenStorage;
        $this->authenticationManager = $authenticationManager;
        $this->header = $header;
    }

    public function handle(GetResponseEvent $event)
    {
        $request = $event->getRequest();

        $apikey = $request->headers->get($this->header);
        if (!$apikey) return;

        $token = new RestUserToken();
        $token->setUser($apikey);

        $authToken = $this->authenticationManager->authenticate($token);
        $this->tokenStorage->setToken($authToken);
        return;
    }
}

RestUserAuthenticationProvider.php:

class RestUserAuthenticationProvider implements AuthenticationProviderInterface
{
    private $userProvider;

    public function __construct(UserProviderInterface $userProvider)
    {
        $this->userProvider = $userProvider;
    }

    public function authenticate(TokenInterface $token)
    {
        $user = $this->userProvider->loadUserByUsername($token->getUsername());

        if ($user)
        {
            $authenticatedToken = new RestUserToken($user->getRoles());
            $authenticatedToken->setUser($user);

            return $authenticatedToken;
        }

        throw new AuthenticationException("Apikey not found.");
    }

    public function supports(TokenInterface $token)
    {
        return $token instanceof RestUserToken;
    }
}

RestUserToken 与 AbstractToken 一样简单，没有额外的逻辑。

api_key_user_provider 是由 RestUser 的 apikey 属性标识的标准实体提供者

RestUserFactory内部也没有额外的魔法，就像官方文档中一样

最佳答案

RestUserListener::handle() 方法应该处理返回 HTTP 401 或 HTTP 403 的情况。

简单地 return; 不会让这一切发生。

在我编写的类似应用程序中，我这样做了:

use Symfony\Component\HttpKernel\Exception\UnauthorizedHttpException;

//
...
//

public function handle(GetResponseEvent $event)
{
    $request = $event->getRequest();

    if ( /* something invalid here, so error */ ) {
        $context = $request->getHost();

        throw new UnauthorizedHttpException(
            "Basic realm=\"$context\"",
            'Please authenticate correctly or any other message here'
        );
    }
}

抛出 UnauthorizedHttpException 将导致 HTTP 401(如果您查看异常的源代码，您就会明白)。

对于 HTTP 403，您可以使用 Symfony\Component\HttpKernel\Exception\AccessDeniedHttpException 代替。

关于php - 安全抛出 500 异常，在 TokenStorage 中找不到 token ，而不是 403 或 401，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/34377857/