Authentifizierung und Sitzungen #

Diese Seite richtet sich an Entwickler, die eine Security-Firewall, Guards oder ein Authentifizierungs-Backend konfigurieren. In Exponential sind Benutzer Inhalte: Jeder Benutzer ist ein Inhaltsobjekt der Benutzerklasse mit einem ezuser-Feld, das Login, E-Mail-Adresse und Passwort-Hash enthält, und liegt in Benutzergruppen im Inhaltsbaum. Die Authentifizierung übernehmen das Kernel-Modul user und die Login-Handler; die Sitzung hält den angemeldeten Benutzer fest.

Inhalt #

1. Benutzer und der anonyme Benutzer
2. Anmelden
3. Sitzungen
4. Anmeldung erzwingen
5. Maschinen: API-Schlüssel und OAuth2
6. Der aktuelle Benutzer im Code
7. Im Vergleich mit anderen Frameworks

Benutzer und der anonyme Benutzer #

Weil Benutzer Inhalte sind, erhalten sie Versionen, Übersetzungen ihrer Profilfelder, Berechtigungen und Suche wie jeder andere Inhalt.

Anmelden #

• Der View user/login meldet einen Benutzer an; user/logout, user/register, user/forgotpassword und user/activate tun, was ihr Name sagt.
• Login-Handler prüfen die Zugangsdaten: site.ini [UserSettings] LoginHandler[] (standard wird mitgeliefert; LDAP und textfile stehen als Alternativen bereit). Der erste Handler, der die Zugangsdaten akzeptiert, meldet den Benutzer an. Ein eigener Handler ist ein Erweiterungspunkt (Login-Handler für Benutzer).
• Die Anmeldung in zwei Schritten (Authenticator-App oder Code per E-Mail) stammt aus der Erweiterung sevenx_authentication_2fa, einem Login-Handler, der vor standard eingetragen wird (Anmeldung in zwei Schritten).
• Im Code prüft eZUser::loginUser( $login, $password ) die Zugangsdaten und meldet den Benutzer an.

Sitzungen #

• Eine Sitzung hält einen Browser angemeldet. Sie endet site.ini [Session] SessionTimeout Sekunden nach ihrer letzten Nutzung (mitgeliefert: 31104000, also 360 Tage).
• Ein leeres site.ini [Session] Handler (die Voreinstellung) bedeutet ezpSessionHandlerPHP: die Sitzungsspeicherung von PHP selbst. ezpSessionHandlerDB speichert Sitzungen in der Tabelle ezsession, sodass Setup > Sitzungen sie auflisten und entfernen kann (Sitzungen). Ein Symfony-basierter Handler (ezpSessionHandlerSymfony) kommt zum Einsatz, wenn der Kernel innerhalb von Symfony läuft.
• Lesen und schreiben Sie Sitzungswerte über eZHTTPTool::instance() (setSessionVariable(), sessionVariable(), hasSessionVariable()), nicht direkt über $_SESSION.
• Sitzungscookies tragen das Präfix aus [Session] SessionNamePrefix im Namen.

Anmeldung erzwingen #

Maschinen: API-Schlüssel und OAuth2 #

Maschinen melden sich nicht über ein Formular an. Die REST-API akzeptiert persönliche API-Schlüssel (Authorization: Bearer expk_...) und OAuth2-Tokens (POST /api/auth/v1/oauth/token); expservices hat eigene Tokens (OAuth und API-Schlüssel, Persönliche API-Schlüssel). Unabhängig von der Art der Zugangsdaten wird jeder Aufruf gegen die Richtlinien des Benutzers geprüft.

Der aktuelle Benutzer im Code #

$user = eZUser::currentUser();
if ( !$user->isRegistered() ) { /* anonymous */ }
$userID = eZUser::currentUserID();

Auf der Kommandozeile und in Workern ist der Benutzer anonym, bis der Code einen Benutzer anmeldet, zum Beispiel einen eigenen Integrationsbenutzer mit eZUser::setCurrentlyLoggedInUser( $user, $user->id() ); niemals den gemeinsam genutzten Administrator (Zugriffskontrolle im Code). In Templates: fetch( 'user', 'current_user' ).

Im Vergleich mit anderen Frameworks #

Verwandte Seiten #

• Konten und Anmeldung
• Mitgliederregistrierung und Mitgliederbereiche
• Sicherheit und Audit
• Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.