Symfony : – Sécurité – Authentification – Autorisations

La gestion des autorisations est essentielle pour sécuriser les ressources de votre application en limitant l’accès à certaines fonctionnalités ou sections en fonction des rôles des utilisateurs.

Les rôles : le cœur des autorisations

Les rôles permettent de contrôler l’accès des utilisateurs à des ressources ou des actions. En plus des rôles définis pour vos utilisateurs, Symfony attribue automatiquement des rôles spécifiques selon l’état d’authentification de l’utilisateur :

• IS_AUTHENTICATED_ANONYMOUSLY

  : l’utilisateur est anonyme.

• IS_AUTHENTICATED_REMEMBERED

  : l’utilisateur est authentifié grâce à la fonctionnalité « se souvenir de moi ».

• IS_AUTHENTICATED_FULLY

  : l’utilisateur s’est authentifié avec succès pour la session en cours.

Ces rôles spéciaux ne sont pas définis dans la méthode

getRoles()

de votre entité utilisateur mais sont gérés en interne par Symfony.

Vérifier les rôles d’un utilisateur

Dans les contrôleurs

Pour vérifier si un utilisateur possède un rôle particulier, utilisez la méthode

isGranted()

:

<?php
namespace App\Controller;

use Symfony\Bundle\FrameworkBundle\Controller\AbstractController;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Routing\Annotation\Route;

class DefaultController extends AbstractController
{
    #[Route('/')]
    public function index(): Response
    {
        if ($this->isGranted('ROLE_ADMIN')) {
            return new Response('Vous êtes un administrateur.');
        }
        if ($this->isGranted('ROLE_USER')) {
            return new Response('Bienvenue cher utilisateur.');
        }
        return new Response('Vous n\'êtes pas authentifié.');
    }
}

Dans les templates Twig

Dans les vues, utilisez la fonction Twig

is_granted()

pour vérifier les rôles :

{% if is_granted('ROLE_ADMIN') %}
    Vous êtes un administrateur.
{% else %}
    Vous n'êtes pas un administrateur.
{% endif %}

Sécuriser une action

Pour restreindre l’accès à une action dans un contrôleur, vous pouvez lancer une exception

AccessDeniedException

si l’utilisateur ne possède pas le rôle requis :

<?php
namespace App\Controller;

use Symfony\Bundle\FrameworkBundle\Controller\AbstractController;
use Symfony\Component\HttpFoundation\Response;
use Symfony\Component\Routing\Annotation\Route;
use Symfony\Component\Security\Core\Exception\AccessDeniedException;

class DefaultController extends AbstractController
{
    #[Route('/page-admin')]
    public function pageAdmin(): Response
    {
        if (!$this->isGranted('ROLE_ADMIN')) {
            throw new AccessDeniedException('Accès interdit');
        }

        return new Response('Bienvenue sur la page administrateur.');
    }
}

Sécuriser une section entière

Vous pouvez sécuriser une section complète de l’application en utilisant la directive

access_control

dans

security.yaml

:

security:
  access_control:
    - { path: ^/admin, roles: ROLE_ADMIN }

Dans cet exemple, toutes les routes commençant par

/admin

ne seront accessibles qu’aux administrateurs (

ROLE_ADMIN

).

Sécuriser avec des critères avancés

En plus des chemins (paths), vous pouvez utiliser d’autres critères pour sécuriser vos ressources :

a. Par nom d’hôte

Pour restreindre l’accès à un sous-domaine, utilisez l’option

host

:

security:
  access_control:
    - { host: ^admin\.example\.com$, roles: ROLE_ADMIN }

requires_channel

security:
  access_control:
    - { path: ^/paiement, roles: IS_AUTHENTICATED_ANONYMOUSLY, requires_channel: https }

security:
  access_control:
    - { path: ^/api, ip: 11.22.33.44, methods: [POST], roles: IS_AUTHENTICATED_ANONYMOUSLY }
    - { path: ^/api, roles: ROLE_FORBIDDEN }