草庐IT

security - Symfony2 http_basic 安全拒绝有效凭据

coder 2024-04-21 原文

我使用 Symfony Standard 2.0.0BETA1 并尝试配置与 this book chapter 中完全相同的 http_basic 身份验证

security:
encoders:
    Symfony\Component\Security\Core\User\User: plaintext

providers:
    main:
        users:
            foo: { password: testing, roles: ROLE_USER }

firewalls:
    main:
        pattern:    /.*
        http_basic: true
        logout:     true

access_control:
    - { path: /.*, role: ROLE_USER }

问题是当我尝试打开一个页面并提交用户名“foo”和密码“testing”时，它只是循环并无限地询问我的凭据或显示错误页面。

重现问题的步骤:

  1. 从http://symfony.com/doc/current/book/security/overview.html#configuration复制安全配置并将其传递到 security.yml 文件
  2. 刷新应用主页
  3. 输入有效凭证

预期的行为是查看主页，但显示凭据提示。

有谁知道为什么会发生这种情况以及如何解决它？

最佳答案

http basic authentication 被Apache 下的PHP as cgi/fastCGI 破解

有一个解决方法:

app_dev.php

if( !isset($_SERVER['PHP_AUTH_USER']) )
{
    if (isset($_SERVER['HTTP_AUTHORIZATION']) && (strlen($_SERVER['HTTP_AUTHORIZATION']) > 0))
    {
        list($_SERVER['PHP_AUTH_USER'], $_SERVER['PHP_AUTH_PW']) = explode(':', base64_decode(substr($_SERVER['HTTP_AUTHORIZATION'], 6)));
        if( strlen($_SERVER['PHP_AUTH_USER']) == 0 || strlen($_SERVER['PHP_AUTH_PW']) == 0 )
        {
            unset($_SERVER['PHP_AUTH_USER']);
            unset($_SERVER['PHP_AUTH_PW']);
        }
    }
}

web/.htaccess

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization},L] 
    RewriteCond %{REQUEST_FILENAME} !-f
    RewriteRule ^(.*)$ app.php [QSA,L]
</IfModule>

来源:symfony github issue

关于security - Symfony2 http_basic 安全拒绝有效凭据，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/27971241/

凭据http_basicSERVERsection39securitysymfonybasic-authentication

有关security - Symfony2 http_basic 安全拒绝有效凭据的更多相关文章

  1. Spring Security 6.0系列【32】授权服务器篇之默认过滤器 - 2

    有道无术，术尚可求，有术无道，止于术。本系列SpringBoot版本3.0.4本系列SpringSecurity版本6.0.2本系列SpringAuthorizationServer版本1.0.2源码地址：https://gitee.com/pearl-organization/study-spring-security-demo文章目录前言1.OAuth2AuthorizationServerMetadataEndpointFilter2.OAuth2AuthorizationEndpointFilter3.OidcProviderConfigurationEndpointFilter4.N

  2. ruby-on-rails - 使用 secure_random stub rspec 中的随机值 - 2

    我正在尝试为我的gem编写规范，它生成otp并将其保存在数据库中。现在我正在为它编写规范。所以基本上我有三种方法generate_otp!、regenerate_otp!、verify_otp(otp)。generate_otp!的作用是调用包含三个变量的方法generate_otpotp_code-基本上是使用secure_random生成的随机值otp_verified-一个bool值，用于设置otp是否已验证的状态otp_expiry_time-设置otp的到期时间，可以由Rails应用在配置中设置。这三个也是我的数据库的列。在generate_otp之后，我正在调用active

  3. ruby - 使用 ruby​​ 应用程序时出现 remove_entry_secure 错误 - 2

    我正在尝试使用docsplit将PDF文件拆分为图像。但看来我的ruby​​安装有问题。我每次都会收到以下错误:/usr/lib/ruby/1.8/fileutils.rb:694:in`remove_entry_secure':parentdirectoryisworldwritable这是完整的命令行输出:$docsplitimagespdf-test.pdf/usr/lib/ruby/1.8/fileutils.rb:694:in`remove_entry_secure':parentdirectoryisworldwritable,FileUtils#remove_entry_

  4. ruby - 通过 node-sass 的 Symfony assetic sass 过滤器？ - 2

    我在让asseticsass过滤器与node-sass而不是ruby​​替代品一起工作时遇到了一些困难。我的config.yml文件中有以下配置:assetic:debug:"%kernel.debug%"use_controller:falsebundles:[]write-to:"%kernel.root_dir%/../web/assets"read_from:"%kernel.root_dir%/../web/assets"node:"%%PROGRAMFILES%%\nodejs\\node.exe"node_paths:["%%USERPROFILE%%\\AppData\

  5. ruby - Chef : cannot load such file -- moneta/basic_file - 2

    我正在运行一个我以前使用过无数次的Recipe，当我用chef+knife启动一个新的EC2实例时，我遇到了这些错误。[2013-01-30T23:44:48+00:00]INFO:Processinguser[dan]actioncreate(/var/chef/cache/cookbooks/users/providers/manage.rbline65)[2013-01-30T23:44:48+00:00]INFO:user[dan]created[2013-01-30T23:44:48+00:00]INFO:Processingdirectory[/home/dan/.ssh]

  6. ruby-on-rails - 使用 Doorkeeper 使用客户端凭据在 OAuth 中发布 - 2

    我已经实现了一个RESTAPI并使用门卫保护它。我编写了一个小型客户端程序来访问它，并且使用资源所有者凭据流可以正常工作。现在我正在尝试使用客户端凭据实现调用flow.所以我遵循了链接中的示例。当我使用GET请求时一切正常，但是当我使用POST请求时，我收到了401Unauthorized。这是对不需要资源所有者的方法的调用。我的APIController中唯一相关的是:doorkeeper_for:all我没有实现任何范围或没有实现任何此类措施(我必须实现吗？)。我的客户端代码如下所示(与exampleingithub中的完全一样):require'rest-client'requi

  7. ruby - 如何在没有默认凭据文件的情况下授权 Google 服务帐户？ - 2

    我有一个GoogleServiceAccount我的应用程序使用它从GoogleAnalytics检索数据。当我创建帐户时，我下载了一个client_secrets文件，其中包含通过OAuth授权所需的所有必要信息，并且我在名为GOOGLE_APPLICATION_CREDENTIALS的环境变量中记录了该文件的路径>根据Google'sdocumentation.我现在可以像这样获得经过身份验证的客户端:authorization=Google::Auth.get_application_default(scopes)此方法从文件中读取凭据，在本地工作，但我的应用程序托管在无法存储文

  8. ruby - 不能使用 has_secure_password，password_digest 错误 - 2

    晚上好。我有个问题。我正在使用has_secure_password并且导致我有一个错误undefinedmethodpassword_digest='for#`,但是我没有这个方法!!请帮忙，不知道该怎么办。我阅读了如何解决此问题，但对我没有帮助(这是我的用户模型。如果可以，请帮忙。classUser:createbefore_create{generate_token(:auth_token)}defsend_password_resetgenerate_token(:password_reset_token)self.password_reset_sent_at=Time.zon

  9. ruby - 通过 Rack::Auth::Basic 有选择地允许某些 url - 2

    我已经建立了一个我希望得到最低限度安全保护的博客(即，我只是想将我不认识的随机人员拒之门外，我并没有尝试实现类似NSA的安全措施)。我正在使用toto使用Rack::Auth::Basic来“保护”站点。我想通过index.xml以便博客读者能够在不处理密码的情况下阅读提要(是的，我知道这是我的“安全性”中的一个大漏洞).如何让Rack::Auth::Basic通过这个url？这就是我向网站添加基本身份验证的方式:useRack::Auth::Basic,"blog"do|username,password|[username,password]==['generic','stupid

  10. ruby-on-rails - salt 如何在 Rails 的 has_secure_password 中工作 - 2

    据我所知，为了使加密密码更安全，我会生成一个随机数(盐)并将其与散列密码一起存储在用户记录中(例如。)我会连接盐使用明文密码，然后对其进行加密(哈希)。生成的哈希将更难破解。将重复此过程以验证密码。查看has_secure_password和bcrypt_ruby(披露:我不是安全专家)我不知道这是如何完成的，因为用户记录中唯一存储的是散列密码。盐在哪里？ 最佳答案 密码哈希和盐保存在数据库中名为password_digest的字符串列中。看这个question. 关于ruby-on-r

随机推荐