天06:安全性和表单验证

以前在symfony欧宝娱乐app下载地址

在第五天,你习惯了操纵模板和行动;形式和寻呼机对你没有秘密了。但是建筑登录表单之后,你可能期望我们向您展示如何限制non-authorised用户为一组特定的功能。这就是我们今天要做的,加上一些表单验证。我们将与定制类扩展应用程序,你应该适应中暴露的概念自定义扩展章symfony欧宝娱乐app下载地址的书。

登录表单验证

验证文件

登录表单有一个昵称和一个密码字段。但如果用户提交的数据将会发生什么?能够处理这种情况下,创建一个login.yml文件前端/模块/ user /验证目录(登录是行动的名称来验证)。添加以下内容:

方法:文章(昵称、密码):名字:昵称:要求:真实required_msg:你的昵称是必需的验证器:nicknameValidator密码:要求:真实required_msg:你的密码需要nicknameValidator:类:sfStringValidator参数:最小值:5 min_error:昵称必须5或更多字符

首先,在方法头,列表字段验证方法的定义形式(我们这里只定义POST方法,因为是显示登录表单和不需要验证)。然后,在的名字头,要求列出每个字段的检查,以及相应的错误消息。最后,作为“昵称”字段声明一组特定的验证规则,它们详细下相应的标题。在这个例子中,sfStringValidator是一个sy欧宝娱乐app下载地址mfony内置验证器检查字符串的格式(默认symfony验证器暴露在吗如何验证一种形式吗symfony欧宝娱乐app下载地址的书)。

错误处理

所以应该发生什么如果用户输入错误的数据?写的条件login.yml文件将无法实现,symfony控制器将请求欧宝娱乐app下载地址handleErrorLogin ()的方法userActions类,而不是executeLogin ()方法,如计划中form_tag论点。如果这种方法不存在,默认的行为是显示loginError.php模板。因为默认的handleError ()方法返回:

公共函数handleError(){返回sfView::错误;}

这是一个全新的模板来写。但我们宁愿再次显示登录表单,错误消息显示接近问题的领域。让我们修改登录显示错误的行为,在这种情况下,loginSuccess.php模板:

公共函数handleErrorLogin(){返回sfView::成功;}

模板错误助手

一旦loginSuccess.php再次调用模板,它是显示错误的时候了。我们将使用form_error ()辅助的验证辅助组。改变两个form-rowdiv的模板:

< ? phpuse_helper(“验证”)? >< div类=“form-row”>< ? php回声form_error(“昵称”)? ><标签为=“昵称”>昵称:> < /标签< ? php回声input_tag(“昵称”,sf_params美元- >得到(“昵称”))? >< / div > < div类=“form-row”>< ? php回声form_error(“密码”)? ><标签为=“密码”> >密码:< /标签< ? php回声input_password_tag(“密码”)? >< / div >

的form_error ()辅助输出中定义的错误消息login.yml如果一个错误声明在该领域作为参数。

是时候测试表单验证试图进入一个昵称的少于5字符,或省略两个字段。上面的错误消息神奇地展示相关的领域:

现在密码是强制性的,但没有数据库中的密码!没关系,只要你输入任何密码,登录会成功。这不是一个很安全的过程,是吗?

样式错误

如果你测试的形式,得到了一个错误,你可能会注意到你的错误不一样的样式的上面的截图。那是因为我们的样式定义.form_error类(在web / main.css),这是默认的类生成的表单的错误form_error ()助手:

.form_error{padding-left:85 px;颜色:# d8732f;}

验证一个用户

定制验证器

你还记得昨天的检查是否存在输入昵称的登录行动?哦,听起来像一个表单验证。这段代码应该采取的行动,包括一个定制的验证器。你认为它是复杂?真的不是。编辑login.yml验证文件如下:

…名称:昵称:要求:真实required_msg:你的昵称是必需的验证器:[nicknameValidator userValidator]…userValidator:类:myLoginValidator参数:密码:密码login_error:这个账户不存在或输入错误的密码

我们只是添加了一个新确认器昵称场,类myLoginValidator。这个验证器还不存在,但是我们知道它需要密码完全认证用户,这是作为一个参数传递的标签密码。

密码存储

但是等一下。在我们的数据模型,以及测试数据,没有密码集。它是定义一个时间。但是你知道在明文存储密码,在数据库中,出于安全考虑,是一个坏主意。所以我们将存储sha1哈希使用的密码和随机密钥的散列。如果你不熟悉这个“盐”过程,查看密码破解方法。

所以打开schema.xml并添加下面的列用户表:

<列的名字=“电子邮件”类型=“varchar”大小=“100”/ ><列的名字=“sha1_password”类型=“varchar”大小=“40”/ ><列的名字=“盐”类型=“varchar”大小=“32”/ >

由一个重建推动模式欧宝娱乐app下载地址symfony propel-build-model。您还应该将两列添加到数据库,手动或通过使用lib.model.schema.sql后生成的欧宝娱乐app下载地址symfony propel-build-sql。现在打开使用/ lib /模型/ User.php并添加这个向setPassword ()方法:

公共函数向setPassword(美元的密码){美元的盐=md5(兰德(100000年,999999年)。这个美元- >getNickname()。这个美元- >getEmail());这个美元- >setSalt(美元的盐);这个美元- >setSha1Password(sha1(美元的盐。美元的密码));}

这个函数模拟直接密码存储,而是它存储盐随机密钥(32个字符散列的随机字符串)和散列密码(40字符的字符串)。

在测试数据中添加密码

还记得第三天测试数据文件?是时候添加一个测试用户密码和电子邮件。打开和修改使用/数据/夹具/ test_data.yml如下:

用户:……法比安:昵称:fabpot first_name:法比last_name:效力密码:symfony电子邮件:fp@example.com弗朗索瓦:昵称欧宝娱乐app下载地址:francoisz first_name:弗朗索瓦last_name: Zaninotto密码:adventcal发送电子邮件至:fz@example.com

随着向setPassword ()方法的定义用户类,sfPropelData将正确地填充新的对象sha1_password和盐模式中定义的列时,我们称之为:

php批/ load_data.php美元

定制验证器

现在是时候写这个习俗myLoginValidator。您可以创建它的lib /目录访问模块(也就是说,在使用/ lib /,或者在使用/应用程序/前端/ lib /,或者在使用/应用程序/前端/模块/ user / lib /)。现在,它被认为是一个应用程序验证器,所以myLoginValidator.class.php将创建的使用/应用程序/前端/ lib /目录:

< ? php类myLoginValidator扩展sfValidator{公共函数初始化(美元的上下文,美元的参数=零){/ /初始化父类父::初始化(美元的上下文);/ /设置默认值这个美元- >setParameter(“login_error”,“无效的输入”);这个美元- >getParameterHolder()- >添加(美元的参数);返回真正的;}公共函数执行(&美元的价值,&美元的错误){password_param美元=这个美元- >getParameter(“密码”);美元的密码=这个美元- >getContext()- >getRequest()- >getParameter(password_param美元);美元的登录=美元的价值;/ /匿名并不是一个真正的用户如果(美元的登录= =“匿名”){美元的错误=这个美元- >getParameter(“login_error”);返回假;}$ c=新标准();$ c- >添加(UserPeer::昵称,美元的登录);$ user= UserPeer::doSelectOne($ c);/ /昵称存在吗?如果($ user){/ /密码好吗?如果(sha1($ user- >getSalt()。美元的密码)= =$ user- >getSha1Password()){这个美元- >getContext()- >getUser()- >setAuthenticated(真正的);这个美元- >getContext()- >getUser()- >addCredential(“用户”);这个美元- >getContext()- >getUser()- >setAttribute(“subscriber_id”,$ user- >getId(),“用户”);这个美元- >getContext()- >getUser()- >setAttribute(“昵称”,$ user- >getNickname(),“用户”);返回真正的;}}美元的错误=这个美元- >getParameter(“login_error”);返回假;}}

当验证器是必需的——后登录表单提交,初始化()方法被调用。它启动的缺省值login_error消息(“无效的输入”)和合并参数(下的参数:头的login.yml文件)的参数对象。

然后execute ()方法是……执行。的password_param美元提供的字段名吗login.yml下密码头。使用它作为一个字段名称检索请求参数的值。所以美元的密码包含用户输入的密码。美元的价值需要和当前字段的值myLoginValidator类是呼吁昵称字段。所以美元的登录包含用户输入的昵称。终于!现在验证器所有必要的数据来验证用户。

下面的代码了登录行动。但此外,密码的测试效度(以前总是正确的)实现:用户输入的口令的散列(使用存储在数据库中的盐)比散列密码的用户。

如果登录和密码是正确的,验证器的回报真正的和目标行动的形式(executeLogin ())将被执行。如果不是,它会返回假这是handleErrorLogin ()将被执行。

删除操作的代码

现在,所有的验证代码坐落在验证器,我们需要删除的登录行动。实际上,当操作被称为使用POST方法,这意味着验证器验证请求,因此用户是正确的。这意味着,动作做的唯一的事是重定向推荐人页面:

公共函数executeLogin(){如果(这个美元- >getRequest()- >getMethod()! = sfRequest::帖子){/ /显示表单这个美元- >getRequest()- >getParameterHolder()- >集(“推荐人”,这个美元- >getRequest()- >getReferer());返回sfView::成功;}其他的{/ /处理表单提交/ /重定向到最后一页返回这个美元- >重定向(这个美元- >getRequestParameter(“推荐人”,“@homepage”));}}

测试修改,试图用一个测试用户登录(清理缓存后,因为我们创建了一个新确认器类,需要自动装载)。

限制访问

如果你想限制一个动作,你只需要添加一个security.yml在模块配置/目录,如下(现在不做):

:is_secure:凭证:订户

这样一个模块只会被执行的行为如果用户身份验证,和一个订阅者证书。

在使用,登录需要发布一个新问题,申报感兴趣的一个问题,评论。所有其他的行动将非登录用户开放。

所以限制的访问问题/添加行动(还未写),添加以下security.yml文件使用/应用程序/前端/模块/问题/ config /目录:

添加:is_secure:凭证:用户:is_secure:

重构的怎么样?

几乎是一天完成,但是我们想玩我们喜欢的游戏一会儿:move-the-code-to-an-unlikely-place游戏。

四行代码执行时,密码验证授权访问用户和拯救他id为未来的请求。你可以看到它的方法myUser类(会话类,而不是用户类对应于用户列)。这是很容易做的。添加以下方法使用/应用程序/前端/ lib / myUser.php类:

公共函数signIn($ user){这个美元- >setAttribute(“subscriber_id”,$ user- >getId(),“用户”);这个美元- >setAuthenticated(真正的);这个美元- >addCredential(“用户”);这个美元- >setAttribute(“昵称”,$ user- >getNickname(),“用户”);}公共函数signOut(){这个美元- >getAttributeHolder()- >removeNamespace(“用户”);这个美元- >setAuthenticated(假);这个美元- >clearCredentials();}

现在,改变四行开始$ this - > getContext () - > getUser ()在myLoginValidator类:

这个美元- >getContext()- >getUser()- >signIn($ user);

也改变了用户/注销行动(这个你忘记?):

公共函数executeLogout(){这个美元- >getUser()- >signOut();这个美元- >重定向(“@homepage”);}

的subscriber_id和昵称会话属性也可以通过getter方法抽象。还在myUser类,添加后的三个方法:

公共函数getSubscriberId(){返回这个美元- >getAttribute(“subscriber_id”,”,“用户”);}公共函数getSubscriber(){返回UserPeer::retrieveByPk(这个美元- >getSubscriberId());}公共函数getNickname(){返回这个美元- >getAttribute(“昵称”,”,“用户”);}

您可以使用这些新方法之一layout.php:改变行

<李> < ? php回声link_to(sf_user美元- >getAttribute(“昵称”,”,“用户”)。“配置文件”,“用户/配置文件”)李? > < / >

通过

<李> < ? php回声link_to(sf_user美元- >getNickname()。“配置文件”,“用户/配置文件”)李? > < / >

不要忘了测试修改。相同的登录过程