El Componente Security¶

Configuración¶

$blackHoleCallback

Un callback del controlador que se encargará de manejar las peticiones que hayan sido enviadas al «agujero negro».

$requirePost

Una lista de acciones del controlador que requieren una petición POST para ejecutarse. Un arreglo de acciones del controlador o “*” para forzar que todas las acciones requieran POST.

$requireSecure

Lista de acciones que requieren una conexión SSL para ejecutarse. Un arreglo de acciones del controlador o “*” para forzar que todas las acciones requieran una conexión SSL.

$requireAuth

Una lista de acciones que requieren una clave de autenticación válida. Esta clave es configurada por el componente Security.

$requireLogin

Una lista de acciones que requieren autenticación HTTP (basic o diges). También acepta “*” indicando que todas las acciones del controlador requieren autenticación HTTP.

$loginOptions

Opciones para la autenticación HTTP. Permite definir que tipo de autenticación utilizar, y los callbacks del controlador para el proceso de autenticación.

$loginUsers

Un arreglo asociativo de usuarios => passords que sonusados para autenticaciones HTTP. Si estás utilizando autenticacion digest, los passwords deben ser encryptados con el algoritmo MD5.

$allowedControllers

Una lista de controladores desde los cuales la acción del controlador actual puede recibir peticiones. También puede utilizarse para peticiones entre controladores.

$allowedActions

Una lista de acciones desde las cuales las acciones del controlador actual pueden para recibir peticiones. También puede utilizarse para peticiones entre controladores.

$disabledFields

Campos del formulario que se necesitan deshabilitar para una petición dada.

Métodos¶

Uso¶

EL uso del componente security generalmente se hace en el método beforeFilter() del controlador. Usted especifica las restricciones de seguridad que desee y el componente Security las hara cumplir en el arranque.

<?php
class WidgetController extends AppController {

    var $components = array('Security');

    function beforeFilter() {
        $this->Security->requirePost('delete');
    }
}
?>

En este ejemplo la accion delete solo puede ser lanzada satisfactoriamente si se recive una solicitud POST.

<?php
class WidgetController extends AppController {

    var $components = array('Security');

    function beforeFilter() {
        if(isset($this->params[Configure::read('Routing.admin')])){
            $this->Security->requireSecure();
        }
    }
}
?>

Este ejemplo forzaría todas las acciones que tengan enrrutamiento admin a requerir peticiones seguras del SSL.

Basic HTTP Authentication¶

The SecurityComponent has some very powerful authentication features. Sometimes you may need to protect some functionality inside your application using HTTP Basic Authentication. One common usage for HTTP Auth is protecting a REST or SOAP API.

This type of authentication is called basic for a reason. Unless you’re transferring information over SSL, credentials will be transferred in plain text.

Using the SecurityComponent for HTTP authentication is easy. The code example below includes the SecurityComponent and adds a few lines of code inside the controller’s beforeFilter method.

class ApiController extends AppController {
    var $name = 'Api';
    var $uses = array();
    var $components = array('Security');

    function beforeFilter() {
        $this->Security->loginOptions = array(
            'type'=>'basic',
            'realm'=>'MyRealm'
        );
        $this->Security->loginUsers = array(
            'john'=>'johnspassword',
            'jane'=>'janespassword'
        );
        $this->Security->requireLogin();
    }

    function index() {
        //protected application logic goes here...
    }
}

The loginOptions property of the SecurityComponent is an associative array specifying how logins should be handled. You only need to specify the type as basic to get going. Specify the realm if you want display a nice message to anyone trying to login or if you have several authenticated sections (= realms) of your application you want to keep separate.

The loginUsers property of the SecurityComponent is an associative array containing users and passwords that should have access to this realm. The examples here use hard-coded user information, but you’ll probably want to use a model to make your authentication credentials more manageable.

Finally, requireLogin() tells SecurityComponent that this Controller requires login. As with requirePost(), above, providing method names will protect those methods while keeping others open.