只是检查：从 Symfony AbstractVoter isGranted 弃权票

Question

我正在开发一个 Symfony2 应用程序，我们想在其中引入 Security Voters. The DX initiative (jay!) brought us the simpler version 这种机制，所以我想使用它。关于 \Symfony\Component\Security\Core\Authorization\Voter\AbstractVoter 的使用，唯一让我有点困扰的是，在仅实现抽象 isGranted 方法时，我不能再弃权。我想为我们的应用程序更改它，但非常感谢您从安全角度对此事发表意见。

明确地说，在我们的应用程序中，我们将使用 unanimous 访问决策管理器策略 - 简而言之：您至少需要一个 ACCESS_GRANTED 而不需要 ACCESS_DENIED - 因为我们以后可能想介绍选民禁止 IP 地址或其他恶作剧。

如下面的相关代码所示，一旦 AbstractVoter 的实现支持某个属性，投票将默认为 Denied。

public function vote(TokenInterface $token, $object, array $attributes)
{
    if (!$object || !$this->supportsClass(get_class($object))) {
        return self::ACCESS_ABSTAIN;
    }

    // abstain vote by default in case none of the attributes are supported
    $vote = self::ACCESS_ABSTAIN;

    foreach ($attributes as $attribute) {
        if (!$this->supportsAttribute($attribute)) {
            continue;
        }

        // as soon as at least one attribute is supported, default is to deny access
        $vote = self::ACCESS_DENIED;

        if ($this->isGranted($attribute, $object, $token->getUser())) {
            // grant access as soon as at least one voter returns a positive response
            return self::ACCESS_GRANTED;
        }
    }

    return $vote;
}

我想做的是用下面的代码覆盖它

public function vote(TokenInterface $token, $object, array $attributes)
{
    if (!$object || !$this->supportsClass(get_class($object))) {
        return self::ACCESS_ABSTAIN;
    }

    $vote = self::ACCESS_ABSTAIN;

    foreach ($attributes as $attribute) {
        if (!$this->supportsAttribute($attribute)) {
            continue;
        }

        // This is where we differ from SymfonyAbstractVoter. Only if there is an outspoken yes or no, a vote is cast
        // When returning null, it will still abstain
        $grant = $this->isGranted($attribute, $object, $token->getUser());
        if ($grant === true) {
            return self::ACCESS_GRANTED;
        }
        if($grant === false) {
            return self::ACCESS_DENIED;
        }

    }

    return $vote;
}

你怎么看？ return ACCESS_ABSTAIN 当 null 是 return 形式 isGranted 时 return 是否安全，并且仅在选民 [=55] 时才施放 ACCESS_GRANTED 或 ACCESS_DENIED =]是真是假？

我为什么要这样做？仍然使用 AbstractVoter （因为，是的，我是一个懒惰的开发人员）但要分开我的顾虑。

假设我为 post、PostVoter 选了一个选民，这样我就可以编辑自己的 post。然后它将投射 ACCESS_GRANTED。但只要我不拥有 post，这个投票者就真的不在乎：它应该只投 ACCESS_ABSTAIN。稍后它可能运行变成一个 AdminVoter，它仍然会投射一个 ACCESS_GRANTED。但是，当使用 unanimous 访问决策管理器策略时，如果此 PostVoter 已经投了一个 ACCESS_DENIED，它将永远不会到达任何其他选民。

我现在无法在不覆盖 vote 方法的情况下将 ACCESS_ABSTAIN 投射到 AbstractVoter 中，而在我看来，更简单的选民的全部观点是，好吧，做到这一点更简单:)

Answer 1

AbstractVoter class 是大多数用例的简单 bootstrap 实现，它模拟了 internal voters behave 的方式，所以一旦您觉得您的解决方案与在基本情况下，您可以随意使用自己的方法进行覆盖。

只是检查：从 Symfony AbstractVoter isGranted 弃权票

Just checking: abstain vote from Symfony AbstractVoter isGranted

php

security

symfony