API 平台禁用重定向登录

Question

我正在使用 Symfony 4 和 API 平台开发一个网站。我的用户资源受到标准 Symfony 安全性 ( "security": "is_granted('ROLE_USER')") 的保护：/*** @ORM\Entity(repositoryClass="App\Repository\UserRepository")* @ApiResource(*     collectionOperations={*         "get_user_profile": {*             "method": "GET",*             "path": "/users/profile",*             "controller": GetUserProfile::class,*             "pagination_enabled": false,*             "openapi_context": {"summary": "Retrieves the current User's profile."},*             "security": "is_granted('ROLE_USER')"*         },*     },*     itemOperations={},*     normalizationContext={"groups": {"read"}},* )*/class User implements UserInterface{}问题是，如果我尝试访问此 API，则响应将重定向到登录页面。如何禁用重定向并将响应保留为 401？重定向对网站用户非常有用，但 API 用户不应该收到 HTML 响应。这是我的security.yml：security:    encoders:        App\Entity\User:            algorithm: auto    # https://symfony.com/doc/current/security.html#where-do-users-come-from-user-providers    providers:        # used to reload user from session & other features (e.g. switch_user)        app_user_provider:            entity:                class: App\Entity\User                property: username    firewalls:        dev:            pattern: ^/(_(profiler|wdt)|css|img|js)/            security: false        main:            anonymous: lazy            guard:                authenticators:                    - App\Security\LoginFormAuthenticator            logout:                path: app_logout                # where to redirect after logout                # target: app_any_route            remember_me:                secret:   '%kernel.secret%'                lifetime: 604800 # 1 week in seconds                path:     /            # activate different ways to authenticate            # https://symfony.com/doc/current/security.html#firewalls-authentication            # https://symfony.com/doc/current/security/impersonating_user.html            # switch_user: true

Answer 1

问题是您只有一个保护身份验证器，并且该身份验证器是 LoginFormAuthenticator，它在AbstractFormLoginAuthenticator.

这个抽象类很方便，但它被认为是用于常规 Web 客户端，而不是用于 API 流。

如果你检查它的start()方法，你会发现：

    /**

     * Override to control what happens when the user hits a secure page

     * but isn't logged in yet.

     *

     * @return RedirectResponse

     */

    public function start(Request $request, AuthenticationException $authException = null)

    {

        $url = $this->getLoginUrl();

        return new RedirectResponse($url);

    }

因此，只要经过身份验证的请求命中，它就会得到这个重定向响应。

您的选择是：

便宜又容易：

覆盖start()，LoginFormAuthenticator因此它返回如下内容：

return new JsonReponse(

    ['status' => 'KO', 'message' => 'Unauthorized'],

    Response::HTTP_UNAUTHORIZED]

);

这将返回一个带有 401 的 JSON 和所有未经授权的请求。但是“常规”网络请求不会被重定向到登录表单。这并不理想。

稍微好一些：

检查start()请求是否具有application/*内容类型，并在这些内容上返回 401，但将其余部分重定向到登录表单。

你实际上应该做的事情：

API URL 应该由不同于常规 Web 路径的保护身份验证器保护。为与 API 无关的流量保留登录表单。Api-Platform 包内置了对 JWT 身份验证的支持。只需使用它，它很容易实现。