Vòng lặp chuyển hướng tử vong trong bảo mật Symfony2

Question

Tôi có một khu vực quản trị với thông tin đăng nhập mà chúng tôi đang buộc phải https: //. Nhấn vào tuyến đường/quản trị viên sẽ chuyển hướng đến trang đăng nhập nếu người dùng chưa đăng nhập nhưng tôi nhận được vòng lặp chuyển hướng vô tận. Không chắc chắn có gì sai, đây là security.yml:

firewalls: 
     admin_login: 
      pattern: ^/admin/secured/login$ 
      security: false 

     admin_secured_area: 
      pattern: ^/admin 
      provider: entity_admin 
      form_login: 
       check_path: /admin/secured/login_check 
       login_path: /admin/secured/login 
       default_target_path: /admin 
      logout: 
       path: /admin/secured/logout 
       target:/

    access_control: 
     - { path: ^/admin/secured/login, roles: IS_AUTHENTICATED_ANONYMOUSLY, requires_channel: https } 
     - { path: ^/admin, roles: ROLE_ADMIN, requires_channel: https } 

Cảm ơn sự giúp đỡ của bạn!

Answer 1

Hi vì vậy đây có liên quan đến cách mà Symfony2 $request->isSecure() kiểm tra cho SSL khi trang web đang được một cân bằng tải, có một số cái tên tiêu đề không phù hợp trong PHP. Tệp cấu hình cần có các thông tin sau:

trusted_proxies: [10.0.0.0/8] 

Bây giờ nó hoạt động, nhưng tôi không biết có vấn đề bảo mật với cài đặt này hay không.

Answer 2

^/admin/secured/login_check cũng phải được xác thực nặc danh vì người dùng sẽ không có vai trò khi họ gọi trang đó ban đầu, do đó vòng lặp.

Answer 3

Sau khi xem nhanh tôi sẽ nói rằng một cái gì đó như thế này dưới đây sẽ là đúng:

firewalls: 
    admin_secured_area: 
     pattern: ^/admin 
     provider: entity_admin 
     form_login: 
      check_path: /admin/secured/login_check 
      login_path: /admin/secured/login 
      default_target_path: /admin 
     logout: 
      path: /admin/secured/logout 
      target:/

access_control: 
    - { path: ^/admin/secured/(login|login_check|logout)$, roles: IS_AUTHENTICATED_ANONYMOUSLY, requires_channel: https } 
    - { path: ^/admin, roles: ROLE_ADMIN, requires_channel: https } 

Dù sao, nếu điều này không giúp đỡ, tôi khuyên bạn nên kiểm tra chuyển hướng với built-in profiler (tab với trận tuyến đường và nhật ký), để bật tính năng này trên các chuyển hướng, thay đổi config_dev.yml thành:

web_profiler: 
    toolbar: true 
    intercept_redirects: true 

Answer 4

Không cần phần "admin_login" trong tường lửa. Nhưng có vẻ như bạn quên thông số ẩn danh ..

firewalls:  
     admin_secured_area: 
      anonymous: ~ 
      pattern: ^/admin 
      provider: entity_admin 
      form_login: 
       check_path: /admin/secured/login_check 
       login_path: /admin/secured/login 
       default_target_path: /admin 
      logout: 
       path: /admin/secured/logout 
       target:/

    access_control: 
     - { path: ^/admin/secured/login, roles: IS_AUTHENTICATED_ANONYMOUSLY, requires_channel: https } 
     - { path: ^/admin, roles: ROLE_ADMIN, requires_channel: https } 

Như tôi đã nói trong nhận xét của mình, bạn có đặt vai trò ROLE_ADMIN cho người dùng đã đăng nhập không?

CHỈNH SỬA: Kênh HTTPS trạng thái định tuyến của bạn có dành cho phần quản trị không?

Answer 5

Remove:

admin_login: 
      pattern: ^/admin/secured/login$ 
      security: false