Estoy trabajando en un nuevo proyecto Symfony 5.3.6 y quiero implementar la autenticación, basada en el nuevo sistema como se indica en:
https://symfony.com/doc/current/security/authenticator_manager.html#creating-a-custom-authenticator
No tengo ningún usuario y solo quiero verificar si el token de API enviado es correcto, así que al implementar este método:
public function authenticate(Request $request): PassportInterface { $apiToken = $request->headers->get('X-AUTH-TOKEN'); if (null === $apiToken) { // The token header was empty, authentication fails with HTTP Status Code 401 "Unauthorized" throw new CustomUserMessageAuthenticationException('No API token provided'); } return new SelfValidatingPassport(new UserBadge($apiToken)); }¿dónde se hace exactamente la comprobación? ¿Me he olvidado de implementar otra clase en alguna parte?
Si dejo el código como está, aterriza directamente en onAuthenticationFailure .
Entiendo que podría implementar Users/UserProvider con un atributo $apiToken y luego el sistema verificaría si la entrada de la base de datos corresponde con el token en la solicitud. Pero no tengo usuarios.
Debería ser posible sin tener usuarios, porque en la URL anterior, dice:
Pasaporte de autovalidación
Si no necesitas verificar ninguna credencial (por ejemplo, cuando usas tokens API), puedes usar Symfony\Component\Security\Http\Authenticator\Passport\SelfValidatingPassport. Esta clase solo requiere un objeto UserBadge y, opcionalmente, credenciales de pasaporte.
Pero eso es un poco delgado. ¿Como lo uso?
Puedes usar la siguiente validación
return new SelfValidatingPassport( new UserBadge($apiToken, function() use ($apiToken) { // TODO: here you can implement any check }) );Ok, creo que entendí el punto, en cualquier caso, necesita manejar algún usuario y luego necesita crear un proveedor de usuario del cliente.
Aquí mi lógica:
App\Security\UserProvider:
class UserProvider implements UserProviderInterface, PasswordUpgraderInterface { public function loadUserByIdentifier($identifier): UserInterface { if ($identifier === 'YOUR_API_KEY') { return new User(); } throw new UserNotFoundException('API Key is not correct'); } ...Aplicación\Seguridad\ApiKeyAuthenticator:
class ApiKeyAuthenticator extends AbstractAuthenticator { private UserProvider $userProvider; public function __construct(UserProvider $userProvider) { $this->userProvider = $userProvider; } public function supports(Request $request): ?bool { // allow api docs page return trim($request->getPathInfo(), '/') !== 'docs'; } public function authenticate(Request $request): Passport { $apiToken = $request->headers->get('X-API-KEY'); if (null === $apiToken) { // The token header was empty, authentication fails with HTTP Status // Code 401 "Unauthorized" throw new CustomUserMessageAuthenticationException('No API token provided'); } return new SelfValidatingPassport( new UserBadge($apiToken, function () use ($apiToken) { return $this->userProvider->loadUserByIdentifier($apiToken); }) ); }Funciona para mí, mi API está protegida por una clave de API básica en el encabezado. No sé si es la mejor manera, pero parece estar bien.
Y define en tu security.yaml:
providers: # used to reload user from session & other features (eg switch_user) app_user_provider: id: App\Security\UserProvider