Forza riautenticazione dopo che le autorizzazioni utente sono state modificate

Question

Nella mia applicazione posso modificare i permessi e i ruoli utente nel back-end.

Quando un utente ha effettuato l'accesso e rimuovo un ruolo dell'utente, l'utente può comunque accedere a contenuti a cui non è più consentito l'accesso, perché gli manca il ruolo. Le modifiche diventano effettive solo quando l'utente si autentica di nuovo con logout/login.

Quindi la mia domanda è: posso accedere alla sessione di un utente connesso (non a me)? So che posso accedere alla mia sessione e distruggerla, il che mi costringe a effettuare nuovamente il login. Ma voglio ottenere la sessione di qualsiasi utente che ha effettuato l'accesso. È possibile? Non sono riuscito a trovare alcuna risorsa al riguardo.

Io uso PdoSessionStorage con symfony2.1 e fosuserbundle.

Answer 1

Imposta come utente la classe Symfony\Component\Security\Core\User\EquatableInterface.

Se si restituisce false dal metodo isEqualTo(), l'utente verrà riautentato. Utilizzare questo metodo per confrontare solo le proprietà che, se modificate, dovrebbero forzare la riautenticazione - i ruoli nel tuo caso.

Answer 2

Si può ovviare a questo problema, seguendo un approccio simile a quello che ho fatto:

1. Quando utente accede al sistema, memorizzare tutte le autorizzazioni in seduta insieme a un checksum di tali autorizzazioni.
2. Archiviare lo stesso checksum in un database o su disco, contro tale ID utente
3. Ogni volta che l'utente effettua una richiesta, verificare che il checksum sul disco corrisponda a quello in sessione per quell'utente. Se è diverso, ricaricare le autorizzazioni nella sessione dell'utente
4. Quando si modificano le autorizzazioni, aggiornare il checksum nel database (o sul disco) memorizzato su quell'utente. Questo attiverà una risincronizzazione alla successiva richiesta.