我正在使用此处描述的 SimpleAuthentication 功能:http://symfony.com/doc/2.6/cookbook/security/api_key_authentication.html

目的是通过作为查询(获取)参数或 header 传递的 token 字符串提供身份验证。这个 token ，我们称之为 TemporaryAccessToken 以避免与 Sf2 token 混淆，由 Controller 生成，通过电子邮件发送给用户(此处未描述)并且应该在有限的时间内可用(专用实体中有一个 valid_until \DateTime 列)。

作为记录，当 protected 页面(由 simple_user_account 防火墙)第一次访问时，身份验证过程如下:

• SimplePreAuthenticationListener被触发
• 基本上，calls MyAuthenticator->createToken()
• 然后calls AuthenticationManager->authenticate()，calls MyAuthenticator->authenticateToken(TokenInterface $token, UserProviderInterface $userProvider, $providerKey)

问题是:一旦用户通过身份验证，并且因为我在防火墙配置中使用了 stateless: false，身份验证过程不会再次触发，因为 session 中已经有一个有效的 Sf2 token .

我看到 2 个逻辑解决方案，但我不知道如何正确地执行此操作:

• 使 session 在我的 TemporaryAccessToken.valid_until 列中设置的日期之前有效。有没有办法实现“本地”？ (我看到remember_me防火墙有个lifetime参数)
• 或，能够重新检查 TemporaryAccessToken 有效性(请参阅我的身份验证器中的 if( $accessToken && $accessToken->isValid() ) 行)

app/config/security.yml

firewalls:
    simple_user_account:
        pattern:   ^/account/access
        stateless:  false
        simple_preauth:
            authenticator: app.security.simple_user_authenticator
        logout:
            path:   /logout_simple
            target: /

我的验证类看起来像:

class SimpleUserAuthenticator implements SimplePreAuthenticatorInterface, AuthenticationFailureHandlerInterface
{
    /**
     * @var AccessTokenManager
     */
    private $accessTokenManager;

    /**
     * SimpleUserAuthenticator constructor.
     * @param AccessTokenManager $accessTokenManager
     */
    public function __construct(AccessTokenManager $accessTokenManager)
    {
        $this->accessTokenManager = $accessTokenManager;
    }

    public function createToken(Request $request, $providerKey)
    {
        $TemporaryAccessToken = $request->query->get('simple_user_token');
        if (!$TemporaryAccessToken) {
            throw new BadCredentialsException('No simple_user token found');
        }

        return new PreAuthenticatedToken(
            'anonymous',
            $TemporaryAccessToken,
            $providerKey
        );
    }


    public function authenticateToken(TokenInterface $token, UserProviderInterface $userProvider, $providerKey)
    {
        if( $token->getUser() instanceof SimpleUser )
        {
            $newToken = new PreAuthenticatedToken(
                $token->getUser(),
                $token->getCredentials(),
                $providerKey,
                array('ROLE_USER')
            );
            return $newToken;
        }

        $accessToken = $this->accessTokenManager->getRepository()->findOneByToken($token->getCredentials());
        if( $accessToken && $accessToken->isValid() )
        {
            $user = $userProvider->loadUserByUsername($accessToken->getAccount()->getEmailCanonical());
            $newToken = new PreAuthenticatedToken(
                $user,
                $token->getCredentials(),
                $providerKey,
                array('ROLE_USER')
            );
            return $newToken;
        }
    }

    public function onAuthenticationFailure(Request $request, AuthenticationException $exception)
    {
        $response =  new RedirectResponse(
            '/login'
        );
        return $response;
    }

    public function supportsToken(TokenInterface $token, $providerKey)
    {
        return $token instanceof PreAuthenticatedToken && $token->getProviderKey() === $providerKey;
    }


}

Symfony2 版本:2.5.6

最佳答案

嗯，如果你需要使用session，你可以在你的config.yml session settings下设置lifetime:

# config.yml
framework:

    session:
        # handler_id set to null will use default session handler from php.ini
        handler_id: ~
        lifetime: 3600

您可以将 lifetime 值更改为任何秒数(默认为 3600 或 1 小时)

另外，你可以试试configure garbage collector .

如果此回答没有帮助，请告诉我。

关于php - 使用 SimplePreAuthenticator 和 PreAuthenticatedToken 时处理临时 token 的最佳方法，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/34151522/