Nous allons voir comment mettre en place l’authentification et l’autorisation lorsque l’on souhaite travailler avec Zend et le protocole AMF.
Au niveau des pré-requit, vous devez avoir une architecture Zend et AMF opérationnelle.
Aussi, je vous conseils de lire la documentation sur Zend_Auth et Zend_Acl.
Vous devez avoir compris la notion de rôle et de ressource.
Objectifs
Si vous fournissez des services à travers le réseau, et qu’ils peuvent avoir un impact sur la cohérence des données, vous vous devez de sécuriser l’accès à ces services.
Sécurisé l’accès signifie restreinte l’accès, mais aussi chiffrer les communications.
Nous ne traiterons pas la partie chiffrement des échanges, pour cela je vous laissez chercher de la documentation sur HTTPS.
Point de départ
Ci-dessous, un exemple de contrôleur Zend offrant des services AMF.
class ServiceController extends Zend_Controller_Action { public function init() { $this->_helper->viewRenderer->setNoRender(); $this->_helper->layout->disableLayout(); } public function amfAction() { $server = new Zend_Amf_Server(); //Liste des services $server->setClass( "Service_User" ); $server->setClass( "Service_Book" ); $server->setClass( "ZendAmfServiceBrowser" ); //Mapping des objets PHP avec les objets ActionScript $server->setClassMap('UserDTO', 'Model_DTO_User'); $server->setClassMap('BookDTO', 'Model_DTO_Book'); $server->setProduction(false); ZendAmfServiceBrowser::$ZEND_AMF_SERVER = $server; echo ($server->handle()); } }
Nous avons donc deux services, et deux types d’objets pouvant être utilisés.
Vous remarquerez l’utilisation de ZamfBrowser, ce service couplé avec une application Adobe AIR permet de travailler facilement avec les services.
Voici à quoi ressemble les prototypes d’un de mes services.
class Service_Book { public function createBook (Model_DTO_Book $oBook) {} public function readBook (Model_DTO_Book $oBook) {} public function updateBook (Model_DTO_Book $oBook) {} public function deleteBook (Model_DTO_Book $oBook) {} public function isRentBy (Model_DTO_User $oUser) {} }
L’autre service est composé lui aussi des méthodes CRUD (Create, Read, Update, Delete), ainsi que d’autres fonctions métiers.
Sachant que mon application cliente Flash utilise ces services, il est très facile à un utilisateur de découvrir l’URI de la passerelle AMF.
En l’état, une personne ayant l’accès à ma passerelle AMF pourrai utiliser toutes les fonctions de mes services. Ce qui implique qu’il puisse modifier ma base de données.
Remarquer que si l’on supprime le service de ZamfBrowser, l’utilisateur n’aura pas accès à la liste exhaustive des services. Si vous êtes en production, je vous conseils donc de supprimer ce service pour des raisons de sécurité.
Mise en place de l’authentification
Nous allons commencer par mettre en place l’authentification,
Sachant que nous utilisons un client Flash, il est logique d’utiliser Zend_Amf_Adobe_Auth.
$authAdapter = new Zend_Amf_Adobe_Auth(APPLICATION_PATH . '/config/password.xml'); $server->setAuth($authAdapter );
Avec ces deux lignes, nous avons mis en place l’authentification au niveau du serveur.
Il vous reste à définir le fichier password.xml
<?xml version="1.0"?> <roles> <role id="editor"> <user name="stephane" password="P@ssword01"/> <user name="robert" password="P@ssword01"/> </role> </roles>
Le fichier password.xml contient les identifiants et les mots de passe des utilisateurs.
C’est à ce niveau que vous définissez les affectations d’identifiants à un rôle.
Si vous avez besoin de plus de souplesse au niveau de la gestion des identifiants, je vous conseils la lecture de Authentification avec une table de base de données.
Il est à noter, que si vous ne spécifier aucun identifiant lors de votre connexion au serveur AMF vous serez considéré comme un invité : Zend_Amf_Constants::GUEST_ROLE
Mise en place de l’autorisation
Maintenant que nous avons correctement définit l’authentification, passons à l’autorisation.
C’est maintenant que nous allons donner les autorisations ou refus d’accès aux services.
$acl = new Zend_Acl(); $server->setAcl($acl);
Avec ces deux lignes, vous avez définit une Acces Control List.
Vous le constatez, aucune autorisation n’est définit; mais il est important de noter que maintenant, plus personne n’a accès à vos services.
Pour donner l’accès à nos deux services à n’importe qui, nous allons procéder comme suit :
$acl = new Zend_Acl(); $acl->addResource ( new Zend_Acl_Resource('Service_User') ); $acl->addResource ( new Zend_Acl_Resource('Service_Book') ); $acl->addResource ( new Zend_Acl_Resource('ZendAmfServiceBrowser') ); $acl->allow (null, 'Service_User'); $acl->allow (null, 'Service_Book'); $acl->allow (null, 'ZendAmfServiceBrowser); $server->setAcl($acl);
Ci-dessus, nous avons une liste explicite des autorisations.
Si nous avions voulu faire dans l’implicite, nous aurions procédé ainsi :
$acl = new Zend_Acl(); $acl->allow (); $server->setAcl($acl);
Pour aller plus loin dans l’explication, nous allons maintenant définir l’ensemble de nos autorisations.
Nous souhaitons que le rôle administrateur est accès à tout, et nous souhaitons que les utilisateurs non authentifiés n’est pas accès aux fonctions de mise à jour.
Rappelez-vous, nous avons vu plus haut que vous étiez connecter avec le rôle invité lorsque vous ne spécifiez aucun identifiant.
$acl = new Zend_Acl(); //Définition les rôles. $acl->addRole ( new Zend_Acl_Role(Zend_Amf_Constants::GUEST_ROLE) ); //Définition des autorisations $acl->allow (); $acl->deny (Zend_Amf_Constants::GUEST_ROLE, null, "create"); $acl->deny (Zend_Amf_Constants::GUEST_ROLE, null, "update"); $acl->deny (Zend_Amf_Constants::GUEST_ROLE, null, "delete"); $server->setAcl($acl);
Premièrement,
Nous avons dû définir le rôle invité pour pouvoir travailler ses autorisations.
Deuxièmement,
Nous avons utilisé le principe des listes noires. Si nous avions utilisez un système de liste blanche, nous aurions du définir l’ensemble des rôles, et l’ensemble des autorisations.
C’est donc en partant du principe que tout le monde a accès à tout, que nous avons fermé les portes aux anonymes.
Explication des fonctions Deny & Allow :
Zend_Acl::deny et Zend_Acl::allow utilisent les mêmes arguments.
Le premier paramètre correspond à un rôle, cela ne change pas des ACL Zend classique.
Le deuxième paramètre correspond à une ressource. Avec Zend AMF, une ressource correspond à un Service.
Le troisième paramètre correspond ici à la fonction d’un service AMF.
Nous avons utiliser null au niveau du deuxième paramètre pour dire : tout les services.
initAcl
Ce dernier paragraphe pour vous parlez de mon opposition face aux spécifications de la documentation Zend_AMF_Server :
If the ACL object is set, and the class being called defines initAcl() method, this method will be called with the ACL object as an argument. The class then can create additional ACL rules and return TRUE, or return FALSE if no access control is required for this class.
En gros, il existe une autre manière de définir les autorisations,
Si vous avez définit un ACL au niveau de votre Serveur AMF. Ce dernier vérifiera l’existence d’une fonction initAcl sur les services lorsqu’ils seront appelés.
Cette fonction est ce que l’on appel un Hook, et vous permets de définir les autorisations et refus au sein de la définition même de vos services.
Autant vous dire que niveau maintenance et centralisation de l’information c’est très moyen..
De plus, si l’on pend l’exemple de ZendAmfServiceBrowser, vous allez devoir modifier la définition de ce service, et cela à chaque fois qu’il y aura une nouvelle version ?
Voici un exemple de fonctionnement
class Service_Book { public function initAcl ($acl) { $acl->deny('editor', 'Services_Book', 'create'); $acl->deny('editor', 'Services_Book', 'update'); $acl->deny('editor', 'Services_Book', 'delete'); return true; } }
Commentaires récents