ユーザー権限が変更された後に強制的に再認証を行う

Question

私のアプリケーションでは、バックエンドでユーザーのアクセス許可と役割を変更できます。

ユーザーがログインしているときにユーザーの役割を削除すると、そのユーザーは役割を失っているため、実際にはアクセスを許可されていないコンテンツにもアクセスできます。この変更は、ユーザーがlogout/loginで自分自身を再認証した場合にのみ有効です。

私の質問では、ログインしているユーザーのセッションにアクセスできますか（私ではない）ですか？私は自分のセッションにアクセスして破壊することができ、それによって再びログインする必要があります。しかし、ログインしているユーザーのセッションを取得したいのですが、これは可能ですか？私はそれについて何らかのリソースを見つけることができませんでした。

私はsymfony2.1とfosuserbundleでPdoSessionStorageを使用します。

Answer 1

Symfony\Component\Security\Core\User\EquatableInterfaceを実装するユーザークラスを作成します。

isEqualTo()メソッドからfalseを返すと、ユーザーは再認証されます。このメソッドを使用して、変更されたときに再認証を強制するプロパティー（ケース内のロール）のみを比較します。

Answer 2

あなたは私がやったことと同様のアプローチに従うことによって、この問題を回避することができます

1. ユーザがログインすると、それらの権限のチェックサムと一緒にセッション内のすべての権限を格納します。
2. データベースまたはディスク上に、そのユーザーIDに対して同じチェックサムを格納します。
3. ユーザーが要求するたびに、ディスク上のチェックサムがそのユーザーのセッション内のチェックサムと一致することを確認します。異なる場合は、ユーザーのセッションにアクセス許可を再ロードしてください。
4. 権限を変更するときに、そのユーザーに対して格納されているデータベース（またはディスク）のチェックサムを更新します。これにより、次のリクエストで再同期がトリガーされます。