Wymuś ponowne uwierzytelnianie po zmianie uprawnień użytkownika

W mojej aplikacji mogę zmienić uprawnienia użytkownika i role w zapleczu.Wymuś ponowne uwierzytelnianie po zmianie uprawnień użytkownika

Po zalogowaniu użytkownika i usunięciu roli użytkownika, użytkownik może nadal uzyskiwać dostęp do treści, do których faktycznie nie ma dostępu, ponieważ brakuje mu tej roli. Zmiany obowiązują tylko wtedy, gdy użytkownik ponownie uwierzytelni się przy wylogowaniu/zalogowaniu.

Moje pytanie brzmi, czy mogę uzyskać dostęp do sesji zalogowanego użytkownika (nie ja)? Wiem, że mogę uzyskać dostęp do własnej sesji i ją zniszczyć, co zmusza mnie do ponownego zalogowania. Ale chcę uzyskać sesję każdego użytkownika, który jest zalogowany. Czy to możliwe? Nie mogłem znaleźć żadnych zasobów na ten temat.

Używam PdoSessionStorage z symfony2.1 i fosuserbundle.

Źródło

2013-02-27 Lost in OWL

także tutaj, bez odpowiedzi. http://stackoverflow.com/questions/14184484/how-to-administrative-invalidate-a-session-that-used-remember-me-option – MDrollette

@MDrollette Czuję, że odpowiedź na to pytanie nie zostanie udzielona. Myślę, że jedynym rozwiązaniem może być niestandardowy menedżer sesji –

Byłoby to tylko kwestią przechowywania ID użytkownika wraz z identyfikatorem sesji w tabeli sesji. Nie brzmi to szczególnie trudne, ale nie jestem też pewny najlepszego podejścia. – MDrollette

Wykonaj swoją klasę użytkownika implementuj Symfony\Component\Security\Core\User\EquatableInterface.

Jeśli zwrócisz false z metody isEqualTo(), użytkownik zostanie ponownie uwierzytelniony. Użyj tej metody, aby porównać tylko te właściwości, które po zmianie powinny wymuszać ponowne uwierzytelnianie - role w twojej sprawie.

Źródło

2013-02-27 17:50:10

+1 Ok Rozumiem to. Gdzie muszę dokonać tej kontroli? Muszę to zrobić na każde żądanie? –

Wystarczy, że twoja klasa użytkownika zaimplementuje interfejs. Będziesz zmuszony do wdrożenia metody 'isEqualTo()'. Reszta jest obsługiwana przez Symfony. –

Świetne, co działa!) –

-1

Można obejść ten problem, wykonując podejście podobne do tego, co zrobiłem:

Kiedy użytkownik loguje się, przechowywać wszystkie uprawnienia w sesji wraz z sumą kontrolną z tych uprawnień.
Store taka sama suma kontrolna w bazie danych lub na dysk, wobec tego identyfikatora użytkownika
Gdy użytkownik złoży wniosek, należy sprawdzić, czy suma kontrolna na dysku odpowiada jeden w sesji dla tego użytkownika. Jeśli jest inaczej, ponownie załaduj uprawnienia do sesji użytkownika.
Po zmianie uprawnień należy zaktualizować sumę kontrolną w bazie danych (lub na dysku), która jest przechowywana dla tego użytkownika. Spowoduje to ponowny zsynchronizowanie podczas następnego żądania.

Źródło

2013-02-27 17:03:37 JamesHalsall

Hm wygląda interesująco, ale jest równie złożony. Czy to jest jakiś rodzaj helpdesku, który rozwijasz? –

@artworkad シ nie jest to zbyt skomplikowane, ponieważ używa podstawowych komponentów symfony2, takich jak kontener usługi, kontekst zabezpieczeń i obiekt żądania, aby określić, co zrobić z uprawnieniami. – JamesHalsall

@Jaitsu, wbudowane rozwiązanie Symfony jest * takie * proste, będziesz śmiać się histerycznie. Zobacz moją odpowiedź. ;) –

Wymuś ponowne uwierzytelnianie po zmianie uprawnień użytkownika

Odpowiedz

Powiązane problemy