如何提高我的應用程序安全性？

Question

我有一個Symfony框架的應用程序，我擁有特定權限的用戶，如果他們沒有權限訪問頁面，我必須阻止他們，但用戶仍然可以通過修改URL訪問頁面。例如，我有這個URL，他們已經在其訪問權：

dialog/campany/sms/fid/setting/new 

和他們沒有訪問這個網址的權利：

dialog/campany/mail/fid/setting/new 

但可以通過remplacing sms通過mail。

Answer 1

你必須檢查你的security.yml是如何配置的，並從那裏控制訪問。如果您需要關於它的信息，您可以訪問：http://symfony.com/doc/current/security/access_control.html。

此外，您可以控制訪問權限，從而在給定訪問給定頁面之前製作檢查用戶憑證的功能。

Answer 2

假設ROLE_SMS只能以dialog/campany/sms/和ROLE_MAIL訪問只能到dialog/campany/mail/

在應用程序/配置/ security.yml訪問，你應該有：

security: 
    access_control: 
     - { path: ^/dialog/campany/sms/, roles: ROLE_SMS } 
     - { path: ^/dialog/campany/mail/, roles: ROLE_MAIL } 

如果你只是想限制/新的URL，您可以將路徑更改爲：

 - { path: ^/dialog/campany/sms/fid/setting/new$, roles: ROLE_SMS } 
     - { path: ^/dialog/campany/mail/fid/setting/new$, roles: ROLE_MAIL }