ハッシュされたパスワードを持つカスタムユーザープロバイダと、バックエンドAPIの基本である

Question

私は、両方ともSymfony2で書かれたREST APIとそのAPIのフロントエンドを持っています。このマニュアルに従って、私は（ハッシュされた）パスワード、塩などのバックエンドからの情報をもとに、フロントエンドのユーザーオブジェクトを作成するためのカスタム・ユーザー・プロバイダを書かれているフロントエンドでは
など
：http://symfony.com/doc/current/cookbook/security/custom_provider.html

しかし、ほとんどの私のAPIリクエストでは、HTTP Basic認証の資格情報が必要です。しかし、私が知る限り、ベーシックでは私は平文のパスワードが必要です。私はフロントエンド側にないが、私はちょうど私のカスタムユーザープロバイダのハッシュバージョンを持っています。

HTTPハッシュパスワードバージョンで何とかHTTPベーシックを使用できますか？私は後者を試してみた
または私は_usernameとフロントエンド上のログインフォームの_passwordフィールドを傍受、およびセッションに保存し（それが正しいかどうかわからないが、それは今のところそれを修正します）することができます

'login_check'の代わりに自分のURLにログインフォームをポストすることで_usernameと_passwordのフィールドを見ることができますが、その後、 '/ login-check'に転送してSymfony2に魔法をさせる必要があります。コントローラを見つけることができないので、これは失敗します（コントローラを設定せずにSf2がlogin_check呼び出しを傍受しますが、あなたがそれを使い始めたときにSf2がlogin_checkコールを傍受します。あなたはそれをサーバーに送信する前にパスワードをハッシュ化された場合は、

乾杯、

ディーター

Answer 1

を歓迎されるであろう、これはハッシュ化されたパスワードは、新しいパスワードになります。

HTTP基本認証は、RESTful認証方式として一般に使用されますが、ですが、SSLを超えている必要があります。セッションナンバーとして暗号ノンスを使用している場合は、すべての要求に対してこの値をSSL経由で渡す必要があります。そうしないと、OWASP A9に違反し、すべてのユーザーが侵害される可能性があります。