如何在 Symfony 中配置基本身份验证以允许空密码？

Question

我正在 PHP / Symfony 4.0 中编写一个 REST API 端点，我想使用基本身份验证，并使用密码为空的内存用户。当我尝试使用这些凭据调用端点时，我收到一个 BadCredentialsException 说“提供的密码不能为空”。

DaoAuthenticationProvider 似乎正在引发异常。

如何在 Symfony 中配置基本身份验证以允许空密码？

上下文：我正在为一个简单的端点设置基本身份验证，该端点将用作集成字段的 Prismic 自定义 API（请参阅https://user-guides.prismic.io/en/articles/1401183-connect-to-a-custom-api）。 Prismic 对此支持基本身份验证，您可以在其中输入将用作用户名的密钥，而密码将留空。

我正在使用 PHP / Symfony 4.0 编写此内容，并且我一直在关注 https://symfony.com/doc/current/security.html 的文档。

我的 config/packages/security.yaml 文件是：

security:
    firewalls:
        secured_area:
            pattern: ^/api/my-endpoint
            http_basic: ~
            security: true
        main:
            security: false

    providers:
        in_memory:
            memory:
                users:
                    test:
                        password: ''

    encoders:
        Symfony\Component\Security\Core\User\User: plaintext

我的日志中的完整错误消息是：

用户的基本身份验证失败。 {"username":"test","exception":"[object] (Symfony\Component\Security\Core\Exception\BadCredentialsException(code: 0): Bad credentials. at my-project\vendor\symfony\security\Core \Authentication\Provider\UserAuthenticationProvider.php:84, Symfony\Component\Security\Core\Exception\BadCredentialsException(code: 0): 提供的密码不能为空。在 my-project\vendor\symfony\security\Core\Authentication\ Provider\DaoAuthenticationProvider.php:54)"} []

Answer 1

如果您真的不想进行适当的身份验证，然后经过身份验证的用户将使用 API 密钥调用远程端点，并以更“肮脏”的方式解决任务，那么您可以做什么是：

• 创建您自己的AuthenticationProvider，它将扩展原来的https://github.com/symfony/symfony/blob/master/src/Symfony/Component/Security/Core/Authentication/Provider/DaoAuthenticationProvider.php

• 覆盖checkAuthentication 方法，您将拥有与原始代码相同的代码，但不检查空密码（可能还有该 else 语句中相关的所有其他内容）

• 覆盖service definition 以指向您自己创建的AuthenticationProvider

   <service id="security.authentication.provider.dao" class="XXXX Your class here XXXX" abstract="true">
       <argument /> <!-- User Provider -->
       <argument /> <!-- User Checker -->
       <argument /> <!-- Provider-shared Key -->
       <argument type="service" id="security.encoder_factory" />
       <argument>%security.authentication.hide_user_not_found%</argument>
   </service>
  

• 清空缓存试试

覆盖服务：

services:
  ...
  ...
  security.authentication.provider.dao:
    alias: MyProject\Service\Security\OverriddenDaoAuthenticationProvider
    public: true

在你的OverriddenDaoAuthenticationProvider类中记得调用原来的构造函数来传递参数：

public function __construct(UserProviderInterface $userProvider, UserCheckerInterface $userChecker, string $providerKey, EncoderFactoryInterface $encoderFactory, bool $hideUserNotFoundExceptions = true)
{
    parent::__construct($userProvider, $userChecker, $providerKey, $encoderFactory, $hideUserNotFoundExceptions);
}