src/EventSubscriber/CrudControllerAllowlistSubscriber.php line 86

Open in your IDE?
  1. <?php
  3. namespace App\EventSubscriber;
  5. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  6. use Symfony\Component\HttpKernel\Event\RequestEvent;
  7. use Symfony\Component\HttpKernel\KernelEvents;
  8. use Symfony\Component\Security\Core\Exception\AccessDeniedException;
  9. use Symfony\Component\Security\Core\Security;
  11. /**
  12.  * Erzwingt pro EasyAdmin-Dashboard eine Allowlist der aufrufbaren CrudController.
  13.  *
  14.  * Hintergrund (AWM-1081): EasyAdmin 3 routet ALLE CRUD-Aktionen über die
  15.  * Dashboard-URL mit ?crudControllerFqcn=... — jeder CrudController ist damit
  16.  * über jedes Dashboard erreichbar, sobald der User die Dashboard-Route betreten
  17.  * darf. setPermission() im Menü versteckt nur den Menüpunkt, schützt aber nicht
  18.  * den direkten Aufruf per URL. Ohne diese Allowlist konnte ein ROLE_ADMIN über
  19.  * /admin?crudControllerFqcn=...SensorCrudController Super-Admin-Masken öffnen.
  20.  *
  21.  * Regel: Für die Route "dashboard" (/admin) ist je Controller die Mindestrolle
  22.  * hinterlegt (Stand des Menüs in Admin\DashboardController). Alles, was nicht
  23.  * gelistet ist, erfordert ROLE_SUPER_ADMIN (fail-closed).
  24.  */
  25. class CrudControllerAllowlistSubscriber implements EventSubscriberInterface
  26. {
  27.     /**
  28.      * Dashboard-Controller-FQCN => [CrudController-FQCN => erlaubte Rollen (eine reicht)].
  29.      * Nicht gelistete Controller fallen auf DEFAULT_ROLES zurück.
  30.      *
  31.      * Absichtlich am Dashboard-CONTROLLER festgemacht, nicht am Routennamen:
  32.      * /admin ist über zwei Routen erreichbar (dashboard aus routes.yaml UND die
  33.      * Annotation-Route app_admin_dashboard_index) — der Controller ist eindeutig.
  34.      */
  35.     private const ALLOWLIST = [
  36.         'App\Controller\Admin\DashboardController' => [
  37.             // Submenü "Admin" + "Aufzüge" (heute für ROLE_ADMIN sichtbar)
  38.             'App\Controller\Admin\UserCrudController' => ['ROLE_ADMIN'],
  39.             'App\Controller\Admin\CompanyCrudController' => ['ROLE_ADMIN'],
  40.             'App\Controller\Admin\ZuesMailboxCrudController' => ['ROLE_ADMIN'],
  41.             'App\Controller\Admin\ElevatorCrudController' => ['ROLE_ADMIN'],
  42.             'App\Controller\Admin\ManufacturerCrudController' => ['ROLE_ADMIN'],
  43.             // Adressen: im Aufzüge-Submenü (ROLE_ADMIN) UND im Nea-Submenü (ROLE_NEA)
  44.             'App\Controller\Admin\AddressCrudController' => ['ROLE_ADMIN', 'ROLE_NEA'],
  45.             // Submenü "Nea" (ROLE_NEA; ROLE_SUPER_ADMIN erbt ROLE_NEA über die Hierarchie)
  46.             'App\Controller\Admin\NeaCrudController' => ['ROLE_NEA'],
  47.             'App\Controller\Admin\GpioCrudController' => ['ROLE_NEA'],
  48.             'App\Controller\Admin\BuchungskreisCrudController' => ['ROLE_NEA'],
  49.         ],
  50.         // Kunden-Admin /kundenadmin (AWM-1081): NUR die Ka-Controller, alles
  51.         // andere (insb. die Super-Admin-Controller) bleibt hier gesperrt
  52.         'App\Controller\KundenAdmin\KundenAdminDashboardController' => [
  53.             'App\Controller\KundenAdmin\KaElevatorCrudController' => ['ROLE_ADMIN'],
  54.             'App\Controller\KundenAdmin\KaAddressCrudController' => ['ROLE_ADMIN'],
  55.             'App\Controller\KundenAdmin\KaUserCrudController' => ['ROLE_ADMIN'],
  56.             'App\Controller\KundenAdmin\KaCompanyCrudController' => ['ROLE_ADMIN'],
  57.             'App\Controller\KundenAdmin\KaContactCrudController' => ['ROLE_ADMIN'],
  58.             'App\Controller\KundenAdmin\KaDocumentCrudController' => ['ROLE_ADMIN'],
  59.             'App\Controller\KundenAdmin\Trash\KaTrashElevatorCrudController' => ['ROLE_ADMIN'],
  60.             'App\Controller\KundenAdmin\Trash\KaTrashAddressCrudController' => ['ROLE_ADMIN'],
  61.             'App\Controller\KundenAdmin\Trash\KaTrashContactCrudController' => ['ROLE_ADMIN'],
  62.             'App\Controller\KundenAdmin\Trash\KaTrashDocumentCrudController' => ['ROLE_ADMIN'],
  63.         ],
  64.     ];
  66.     private const DEFAULT_ROLES = ['ROLE_SUPER_ADMIN'];
  68.     private $security;
  70.     public function __construct(Security $security)
  71.     {
  72.         $this->security = $security;
  73.     }
  75.     public static function getSubscribedEvents(): array
  76.     {
  77.         // Nach der Security-Firewall (Prio 8), damit isGranted() funktioniert,
  78.         // aber vor EasyAdmins AdminRouterSubscriber (Prio 0), damit die Ablehnung
  79.         // greift, bevor EA den AdminContext aufbaut.
  80.         // Hinweis: EA 3.5 prüft zusätzlich URL-Signaturen — die sind aber weder
  81.         // benutzergebunden noch ablaufend und in EA 4 ersatzlos entfernt; diese
  82.         // Allowlist ist die eigentliche Rechteprüfung.
  83.         return [KernelEvents::REQUEST => ['onKernelRequest', 1]];
  84.     }
  86.     public function onKernelRequest(RequestEvent $event): void
  87.     {
  88.         if (!$event->isMainRequest()) {
  89.             return;
  90.         }
  92.         $request = $event->getRequest();
  93.         $dashboardFqcn = strstr((string) $request->attributes->get('_controller'), '::', true);
  94.         if (!isset(self::ALLOWLIST[$dashboardFqcn])) {
  95.             return;
  96.         }
  98.         $controllerFqcn = $request->query->get('crudControllerFqcn');
  99.         if (!$controllerFqcn) {
  100.             // Dashboard-Startseite ohne CRUD-Kontext
  101.             return;
  102.         }
  104.         $allowedRoles = self::ALLOWLIST[$dashboardFqcn][ltrim($controllerFqcn, '\\')] ?? self::DEFAULT_ROLES;
  106.         foreach ($allowedRoles as $role) {
  107.             if ($this->security->isGranted($role)) {
  108.                 return;
  109.             }
  110.         }
  112.         throw new AccessDeniedException(sprintf('CrudController %s ist über das Dashboard %s für diesen Benutzer nicht erlaubt.', $controllerFqcn, $dashboardFqcn));
  113.     }
  114. }