Question

我有一个登录管理区域，我们强制要求https：//。如果用户没有登录，点击路由/管理员应该重定向到登录页面，但我得到一个无休止的重定向循环。不确定是什么问题，这是security.yml：

firewalls: 
        admin_login:
            pattern:  ^/admin/secured/login$
            security: false

        admin_secured_area:
            pattern: ^/admin
            provider: entity_admin
            form_login:
                check_path: /admin/secured/login_check
                login_path: /admin/secured/login
                default_target_path: /admin
            logout:
                path:   /admin/secured/logout
                target: /

    access_control:
        - { path: ^/admin/secured/login, roles: IS_AUTHENTICATED_ANONYMOUSLY, requires_channel: https }
        - { path: ^/admin, roles: ROLE_ADMIN, requires_channel: https }

感谢您的帮助！

Answer 1

防火墙中不需要“admin_login”部分。但看起来你忘记了匿名参数..

firewalls:     
        admin_secured_area:
            anonymous: ~
            pattern: ^/admin
            provider: entity_admin
            form_login:
                check_path: /admin/secured/login_check
                login_path: /admin/secured/login
                default_target_path: /admin
            logout:
                path:   /admin/secured/logout
                target: /

    access_control:
        - { path: ^/admin/secured/login, roles: IS_AUTHENTICATED_ANONYMOUSLY, requires_channel: https }
        - { path: ^/admin, roles: ROLE_ADMIN, requires_channel: https }

正如我在评论中所说，您是否为已登录用户设置了ROLE_ADMIN角色？

编辑：您的路由是否也为管理部门说明了HTTPS频道？

Answer 2

快速浏览后，我会说下面的内容应该是正确的：

firewalls: 
    admin_secured_area:
        pattern:  ^/admin
        provider: entity_admin
        form_login:
            check_path: /admin/secured/login_check
            login_path: /admin/secured/login
            default_target_path: /admin
        logout:
            path:   /admin/secured/logout
            target: /

access_control:
    - { path: ^/admin/secured/(login|login_check|logout)$, roles: IS_AUTHENTICATED_ANONYMOUSLY, requires_channel: https }
    - { path: ^/admin, roles: ROLE_ADMIN, requires_channel: https }

无论如何，如果这没有帮助，我建议使用内置探查器（带路由匹配和日志的选项卡）检查重定向，将其重定向更改为config_dev.yml：

web_profiler:
    toolbar: true
    intercept_redirects: true

Answer 3

大家好，这与Symfony2 $request->isSecure()在网站负载均衡器下检查SSL的方式有关，PHP中有一些不一致的标题名称。配置文件需要以下内容：

trusted_proxies: [10.0.0.0/8]

它现在有效，但我不知道此设置是否存在安全问题。

Answer 4

^/admin/secured/login_check也应该通过匿名身份验证，因为用户在最初调用该页面时不会有角色，因此就是循环。

Answer 5

删除：

admin_login:
            pattern:  ^/admin/secured/login$
            security: false

在Symfony2安全性中重定向死循环

5 个答案: