SymfonyでGuardとEntityを使った認証

Symfonyフレームワークでの認証について、やっと動いたのでメモ代わりとして書いてみます。認証にはGuardクラスとDoctrineのエンティティを利用したログイン方法です。

参考にしたのはこの記事。ただしベーシック認証のケースになってます。

ちなみに、Symfonyの認証方法としては、ドキュメントのSecurity、FOSバンドルを利用する、などもあります。見た感じだとGuardが直感的にわかりやすそうで、かつ細かな調整が行いやすそうだったので試してみました。

PHPクラスの用意

Userエンティティ

まずはログインユーザー用のエンティティクラスを作ります。Doctrineを利用して、データベースのユーザーテーブルからログイン情報を取得します。

<?php
namespace AppBundle\Entity\User;

use Doctrine\ORM\Mapping as ORM;
use Symfony\Component\Security\Core\User\UserInterface;

/**
 * Class User
 *
 * @ORM\Table(name="task_user")
 * @ORM\Entity(repositoryClass="AppBundle\Entity\User\User\UserRepository")
 */
class User implements UserInterface
{
    /**
     * @var int
     * 
     * @ORM\Column(name="id", type="integer")
     * @ORM\Id
     * @ORM\GeneratedValue(strategy="AUTO")
     */
    protected $id;

    /**
     * @var string
     * @ORM\Column(name="user_name", type="string", length=64)
     */
    protected $username;

    /**
     * Encrypted password. Must be persisted.
     *
     * @var string
     * @ORM\Column(name="password", type="string", length=256)
     */
    protected $password;

    /**
     * Returns the roles granted to the user.
     *
     * @return (Role|string)[] The user roles
     */
    public function getRoles()
    {
        return ['ROLE_ADMIN'];
    }

    /**
     * Returns the password used to authenticate the user.
     *
     * @return string The password
     */
    public function getPassword()
    {
        return $this->password;
    }

    /**
     * Returns the salt that was originally used to encode the password.
     *
     * @return string|null The salt
     */
    public function getSalt()
    {
        return null;
    }

    /**
     * Returns the username used to authenticate the user.
     *
     * @return string The username
     */
    public function getUsername()
    {
        return $this->username;
    }

    /**
     * Removes sensitive data from the user.
     */
    public function eraseCredentials()
    {
    }
}

ポイントはUserInterfaceを実装すること。getUsername、getRolesなどのメソッドを適宜実装します。テーブル名などは実際のデータベースに合わせます。

Guardクラス

次は、Guardクラスを実装します。ここに認証するコードを書き込むことになります。

<?php
namespace AppBundle\AuthService;

use AppBundle\Entity\User\User;
use Doctrine\ORM\EntityManager;
use Symfony\Component\HttpFoundation\RedirectResponse;
use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Routing\RouterInterface;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\Exception\AuthenticationException;
use Symfony\Component\Security\Core\Exception\CustomUserMessageAuthenticationException;
use Symfony\Component\Security\Core\Security;
use Symfony\Component\Security\Core\User\UserInterface;
use Symfony\Component\Security\Core\User\UserProviderInterface;
use Symfony\Component\Security\Guard\AbstractGuardAuthenticator;

class SettingAuth extends AbstractGuardAuthenticator
{
    /**
     * @var RouterInterface
     */
    private $router;

    /**
     * @var EntityManager
     */
    private $em;

    /**
     * @var string
     */
    private $message = 'please check inputs. ';

    /**
     * SettingAuth constructor.
     *
     * @param $em
     * @param $router
     */
    public function __construct($em, $router)
    {
        $this->em = $em;
        $this->router = $router;
    }

    /**
     * Returns a response that directs the user to authenticate.
     *
     * @param Request                 $request       The request that resulted in an AuthenticationException
     * @param AuthenticationException $authException The exception that started the authentication process
     * @return Response
     */
    public function start(Request $request, AuthenticationException $authException = null)
    {
        $url = $this->router->generate('settings-login');
        return new RedirectResponse($url);
    }

    /**
     * Get the authentication credentials from the request and return them
     * as any type (e.g. an associate array). If you return null, authentication
     * will be skipped.
     *
     * @param Request $request
     * @return mixed|null
     */
    public function getCredentials(Request $request)
    {
        $url = $this->router->generate('settings-login');
        if ($request->getPathInfo() != $url || $request->getMethod() !== 'POST') {
            return null;
        }
        $username = $request->request->get('_username');
        $request->getSession()->set(Security::LAST_USERNAME, $username);
        return array(
            'username' => $username,
            'password' => $request->request->get('_password'),
        );
    }

    /**
     * Return a UserInterface object based on the credentials.
     *
     * @param mixed                 $credentials
     * @param UserProviderInterface $userProvider
     * @throws AuthenticationException
     * @return UserInterface|null
     */
    public function getUser($credentials, UserProviderInterface $userProvider)
    {
        if (!isset($credentials['username'])) {
            return null;
        }
        $username = $credentials['username'];
        $user = $this->em->getRepository(User::class)
            ->findOneBy(['username' => $username]);

        if ($user) {
            return $user;
        }
        throw new CustomUserMessageAuthenticationException($this->message);
    }

    /**
     * Returns true if the credentials are valid.
     *
     * @param mixed         $credentials
     * @param UserInterface $user
     * @return bool
     * @throws AuthenticationException
     */
    public function checkCredentials($credentials, UserInterface $user)
    {
        $password = $credentials['password'];
        if (password_verify($password, $user->getPassword())) {
            return true;
        }
        throw new CustomUserMessageAuthenticationException($this->message);
    }

    /**
     * Called when authentication executed, but failed (e.g. wrong username password).
     *
     * @param Request                 $request
     * @param AuthenticationException $exception
     * @return Response|null
     */
    public function onAuthenticationFailure(Request $request, AuthenticationException $exception)
    {
        $request->getSession()->set(Security::AUTHENTICATION_ERROR, $exception);
        $url = $this->router->generate('settings-login');
        return new RedirectResponse($url);
    }

    /**
     * Called when authentication executed and was successful!
     *
     * @param Request        $request
     * @param TokenInterface $token
     * @param string         $providerKey The provider (i.e. firewall) key
     * @return Response|null
     */
    public function onAuthenticationSuccess(Request $request, TokenInterface $token, $providerKey)
    {
        $url = $this->router->generate('initialize');
        return new RedirectResponse($url);
    }

    /**
     * Does this method support remember me cookies?
     *
     * @return bool
     */
    public function supportsRememberMe()
    {
        return false;
    }
}

AbstractGuardAuthenticatorを継承して作ります。

• start：ログインフォームを表示するためのredirectレスポンスを返します。
• getCredential：ファイヤウォールでガードされてるURLにアクセスすると毎回呼ばれるようです。したがって最初に認証処理が必要かどうかを判定します。認証処理が必要ない場合は、NULLを返すことになります。ログイン画面かつPOSTメソッドの場合、ログインフォームから$credentialを作成して返します。
• getUser：認証処理の最初は、ユーザーデータの取得です。今回はDoctrineを使って、DBからエンティティを読み込みます。
• checkCredential：ユーザーが取得できたらパスワード認証です。好きなコードを書けますのでpassword_verify関数を利用してます。if ($password === $user->getPassword())と書くこともできます。
• onAuthenticationFailure：認証に失敗した場合の処理です。再びログイン画面を表示するためredirectResponseを返してます。
• onAuthenticationSuccess：認証に成功した場合の処理です。redirectResponseを返すか、あるいはNULLを返すことでそのまま表示を行います。

設定の変更

PHPクラスができたので、次は設定です。

services.yml

まずはGuardクラスをサービスとして登録しましょう。

services:
    app.settings_authenticator:
        class: AppBundle\AuthService\SettingAuth
        arguments: ["@doctrine.orm.default_entity_manager", "@router"]

サービス名はapp.settings_authenticatorとしました。コンストラクタにはDoctrineのEntityManagerとルーターを渡してます。

security.yml

次はセキュリティ設定で、Guardサービスで認証を行います。

security:
    providers:
        users:
            entity: { class: AppBundle\Entity\User\User, property: username }

    firewalls:
        settings:
            pattern: ^/settings/
            anonymous: ~
            logout: ~            
            guard:
                authenticators:
                    - app.settings_authenticator

    access_control:
        - { path: ^/settings/login, role: IS_AUTHENTICATED_ANONYMOUSLY }
        - { path: ^/settings/, roles: ROLE_ADMIN}

ポイントとして、

• プロバイダーとしてUserエンティティクラスを指定します。
• ファイヤウォールでは、guardとしてサービスapp.settings_authenticatorを指定します。patternで認証するURLを指定します。
• アクセスコントロールとして、一番最初にログイン画面（のURL^/settings/login）の設定をします。IS_AUTHENTICATED_ANONYMOUSLYを指定して、ログインフォームを認証なしで表示できるようにします。

どうやら、firewallsだけだと未認証でも入れるっぽいです…
多分、アノニマスという認証が通ってる、のでしょう。
ちゃんとロールも指定する必要があるようです。

Controllerとログインフォーム

あと、もう少し…

Controller

いよいよログイン画面を処理するControllerを作成します。Routeは、security.ymlで指定したログインURLと同じにしてください。Guardクラス内ではルート名を使っているので、整合しやすいです。

    /**
     * @Config\Route("/settings/login", name="settings-login")
     * @Config\Method({"GET", "POST"})
     * @return Response
     */
    public function login()
    {
        $user = $this->getUser();
        if ($user instanceof UserInterface) {
            return $this->redirectToRoute('initialize');
        }

        /** @var AuthenticationException $exception */
        $utils = $this->get('security.authentication_utils');
        $exception = $utils->getLastAuthenticationError();
        $lastName  = $utils->getLastUsername();

        $data = [
            'lastName' => $lastName,
        ];
        if ($exception) {
            $this->addFlash('notice', $exception->getMessage());
        } else {
            $this->addFlash('message', 'please login');
        }
        return $this->render('task/system/login.html.twig', $data);
    }

Guardで認証できなかった場合のため、'security.authentication_utils'サービスを使って例外のメッセージと入力ユーザー名を取得して表示してます。

ログインフォーム

最後にログインフォームです。

{% block body %}

    <form action="" method="post">

        <label for="username">Username:</label>
        <input type="text" id="username" name="_username" class="form-control" value="{{ lastName }}"/>

        <label for="password">Password:</label>
        <input type="password" id="password" name="_password" class="form-control"/>

        <button type="submit" class="btn btn-primary">login</button>
    </form>

{% endblock %}

Guard::getCredentialでは、入力から$credentialを作成してます。それと同じの名前（_usernameと_password）を使います。

最後に

多分、これで動くはずですが…　動いてしまうと、何が問題だったのか分かりませんが、足掛けで一週間かかってしまいました。

おそらくFOSのときのコードや設定が入り込んだりして、YMLやプロバイダーとかで混乱してたのでしょう。もうひとつはGuard::getCredentialでNULLを返す理由を理解したことで動いた気もします。