Composant Security¶

Configuration¶

$blackHoleCallback

Un contrôleur de callback qui gèrera les requêtes envoyées dans le « trou noir »

$requirePost

Liste d’actions de contrôleurs qui exigent que se produise une requête POST. Un tableau d’actions de contrôleurs ou “*” pour forcer toutes les actions à exiger un POST.

$requireSecure

Liste d’actions qui exigent que se produise une connexion SSL. Un tableau d’actions de contrôleurs ou “*” pour forcer toutes les actions à exiger une connexion SSL.

$requireAuth

Liste d’actions qui exigent une clé d’authentification valide. Cette clé de validation est définie par le Composant Security.

$requireLogin

Liste d’actions qui exigent des connexions HTTP Authentifiées (basic ou digest). Acceptent aussi “*” pour indiquer que toutes les actions de ce contrôleur exigent une authentification HTTP.

$loginOptions

Les options pour les requêtes de connexion HTTP authentifiée. Vous permet de définir le type d’authentification et le contrôleur de callback pour le processus d’authentification.

$loginUsers

Un tableau associatif de noms_utilisateurs => mots_de_passe qui est utilisé pour les connexions HTTP authentifiées. Si vous utilisez l’authentification digest, votre mot de passe devra être de hashage MD5

$allowedControllers

Une liste de contrôleurs à partir desquelles les actions du contrôleur courant sont autorisées à recevoir des requêtes. Ceci peut être utilisé pour contrôler les demandes croisées de contrôleur.

$allowedActions

Les actions parmi celles du contrôleur courant qui sont autorisées à recevoir des requêtes. Ceci peut être utilisé pour contrôler les demandes croisées de contrôleur.

$disabledFields

Liste des champs de formulaire qui devraient être ignorés lors de la validation du POST. La valeur, présence ou absence de ces champs de formulaire, ne sera pas prise en compte lors de la vérification de la validité de soumission du formulaire. Spécifiez les champs comme vous le faites pour l’assistant Form (Model.nomduchamp).

Méthodes¶

Utilisation¶

Utilisé le componsant Security est généralement fait dans la méthode beforeFilter() de votre contrôleur. Vous pouvez spécifier les restrictions de sécurité que vous voulez et le composant Security les forcera au démarrage

<?php
class WidgetController extends AppController {

    var $components = array('Security');

    function beforeFilter() {
        $this->Security->requirePost('delete');
    }
}
?>

Dans cette exemple, l’action delete peut être effectuée avec succès si celui ci reçoit une requête POST

<?php
class WidgetController extends AppController {

    var $components = array('Security');

    function beforeFilter() {
        if(isset($this->params[Configure::read('Routing.admin')])){
            $this->Security->requireSecure();
        }
    }
}
?>

Cette exemple forcera toutes les actions qui proviennent de la « route » Admin à être effectuées via des requêtes sécurisées SSL.

Authentification HTTP Basic¶

Le composant Security a quelques fonctions d’authentifications très puissantes. Parfois, vous pouvez avoir besoin de protéger quelques fonctionnalités de votre application, en utilisant une authentification HTTP Basic. L’un des usages courant de l’authentification HTTP est la protection d’une API REST ou SOAP.

Ce type d’authentification est appelée basic pour une raison simple. A moins que vous ne transfériez les informations par SSL, les identifiants seront transférés en texte brut.

Utiliser le composant Security pour les authentifications HTTP est facile. L’exemple suivant inclue le composant Security et quelques lignes de code dans la méthode beforeFilter() du contrôleur.

class ApiController extends AppController {
    var $name = 'Api';
    var $uses = array();
    var $components = array('Security');

    function beforeFilter() {
        $this->Security->loginOptions = array(
            'type'=>'basic',
            'realm'=>'MonDomaine'
        );
        $this->Security->loginUsers = array(
            'john'=>'mot_passe_john',
            'jane'=>'mot_passe_jane'
        );
        $this->Security->requireLogin();
    }

    function index() {
        // Logique protégée de l'application ici...
    }
}

La propriété loginOptions du composant Security est un tableau associatif qui spécifie comment le login devrait être manipulé. Vous avez uniquement besoin de spécifier le type comme basic, pour que cela fonctionne. Spécifier le realm (domaine) si vous voulez afficher un joli message à quiconque essaiera de s’identifier ou si vous avez plusieurs sections avec authentification dans votre application (= realms) que vous voulez garder séparées.

La propriété loginUsers du composant Security est un tableau associatif contenant les utilisateurs qui peuvent accéder à ce domaine et leurs mots de passe. Les exemples montrés ici utilisent des informations client codées en dur, mais vous voudrez certainement utiliser un modèle pour rendre vos identifiants d’authentification plus manageables.

Enfin, requireLogin() indique au composant Security que ce contrôleur nécessite une identification. Comme avec requirePost(), ci-dessus, fournir des noms aux méthodes protègera celles-ci tout en laissant les autres accessibles.