Zweck
Diese Extension bietet einen einfachen Schutzmechanismus für Controller-Actions. Die Benutzung von Actions kann gezielt
abgesichert werden gegen fremde Zugriffe, indem Zugriffe ohne API-KEY bzw. Zugriffe mit API-Key ohne die benötigte
Erlaubnis verweigert werden.
Benutzung
Der Controller muss den AuthenticationService injizieren:
/**
* @var \Alto\AltoRest\Service\AuthenticationService
* @inject
*/
protected $authenticationService;
**/
Die zu schützende Action kann dann mit
$this->authenticationService->authenticate('permissionString');
geschützt werden. Der permissionString ist Optional.
Wird kein permissionString angegeben, kann die Action unter Angabe eines API-Key benutzt werden.
Wird ein permissionString angegeben, so muss der API-Key über die entsprechende Berechtigung verfügen.
Zu dem verwendeten permissionString muss ein Datensatz der Klasse \Alto\AltoRest\Domain\Model\Permission mit dem
permissionString als name in der Datenbank existieren. Die pid spielt keine Rolle, es wird im gesamten System nach
Datensätzen gesucht.
Die API-Keys werden entsprechend als \Alto\AltoRest\Domain\Model\Apikey in der datenbank angelegt und mit den
Permissions verknüpft.
Der Request auf geschützte Actions muss zwingend per POST-Methode erfolgen, da der API-Key nur per POST-Variable
akzeptiert wird.
Erfolgt ein OPTIONS-Request auf eine geschützte Action, so wird diese auch ohne Angabe eine API-Key positiv beantwortet,
jedoch enthält die Response keinen Inhalt.
Die Verbindung sollte verschlüsselt stattfinden.
