src/EventSubscriber/InstallAccessSubscriber.php line 43

Open in your IDE?
  1. <?php
  3. namespace App\EventSubscriber;
  5. use App\Entity\User;
  6. use Psr\Log\LoggerInterface;
  7. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  8. use Symfony\Component\HttpKernel\Event\RequestEvent;
  9. use Symfony\Component\HttpKernel\KernelEvents;
  10. use Symfony\Component\Security\Http\Authenticator\Token\PostAuthenticationToken;
  12. /**
  13.  * Steuert den Zugang zu /install/action/{tgaHash}:
  14.  *
  15.  * - Jeder neue tgaHash (neuer QR-Code) löscht die bestehende qrcode-Session,
  16.  *   damit alte Sitzungen nicht wiederverwendet werden können.
  17.  * - Dashboard-Benutzer (onlyQrCodeUser = false) werden automatisch in die
  18.  *   qrcode-Firewall eingeloggt, ohne AppCode eingeben zu müssen.
  19.  * - onlyQrCodeUser muss sich immer mit dem AppCode am QR-Login anmelden.
  20.  */
  21. class InstallAccessSubscriber implements EventSubscriberInterface
  22. {
  23.     private const SESSION_KEY_QRCODE = '_security_qrcode';
  24.     private const SESSION_KEY_DEFAULT = '_security_default';
  25.     private const SESSION_KEY_INSTALL_HASH = '_install_tgaHash';
  26.     private const INSTALL_ENTRY_ROUTE = 'install_chose_action';
  28.     private LoggerInterface $logger;
  30.     public function __construct(LoggerInterface $logger)
  31.     {
  32.         $this->logger = $logger;
  33.     }
  35.     public static function getSubscribedEvents(): array
  36.     {
  37.         // Nach RouterListener (32) aber vor Security-Firewall (8)
  38.         return [
  39.             KernelEvents::REQUEST => ['onKernelRequest', 9],
  40.         ];
  41.     }
  43.     public function onKernelRequest(RequestEvent $event): void
  44.     {
  45.         if (!$event->isMainRequest()) {
  46.             return;
  47.         }
  49.         $request = $event->getRequest();
  51.         if ($request->attributes->get('_route') !== self::INSTALL_ENTRY_ROUTE) {
  52.             return;
  53.         }
  55.         if (!$request->hasSession()) {
  56.             return;
  57.         }
  59.         $tgaHash = (string) $request->attributes->get('tgaHash', '');
  60.         $session = $request->getSession();
  62.         $hasQrcodeSession = (bool) $session->get(self::SESSION_KEY_QRCODE);
  63.         $storedHash = (string) $session->get(self::SESSION_KEY_INSTALL_HASH, '');
  65.         // Gültige qrcode-Session vorhanden (egal ob gleicher oder anderer tgaHash,
  66.         // auch nach remember_me-Re-Authentifizierung). Hash aktualisieren und
  67.         // durchlassen — der Controller prüft die Zugriffsberechtigung.
  68.         if ($hasQrcodeSession) {
  69.             if ($storedHash !== $tgaHash) {
  70.                 $session->set(self::SESSION_KEY_INSTALL_HASH, $tgaHash);
  71.                 $this->logger->debug(sprintf(
  72.                     'InstallAccessSubscriber: tgaHash changed (%s → %s), updating stored hash.',
  73.                     $storedHash,
  74.                     $tgaHash
  75.                 ));
  76.             } else {
  77.                 $this->logger->debug('InstallAccessSubscriber: same tgaHash, passing through.');
  78.             }
  79.             return;
  80.         }
  82.         // Keine qrcode-Session → Hash-Kontext löschen und Dashboard-Session prüfen
  83.         $session->remove(self::SESSION_KEY_INSTALL_HASH);
  85.         // Prüfen ob Dashboard-Session vorhanden
  86.         $defaultTokenSerialized = $session->get(self::SESSION_KEY_DEFAULT);
  87.         if (!$defaultTokenSerialized) {
  88.             $this->logger->debug('InstallAccessSubscriber: no default session, redirecting to QR login.');
  89.             return;
  90.         }
  92.         try {
  93.             $defaultToken = unserialize($defaultTokenSerialized);
  94.             if (!is_object($defaultToken) || !method_exists($defaultToken, 'getUser')) {
  95.                 return;
  96.             }
  98.             $user = $defaultToken->getUser();
  99.             if (!$user instanceof User) {
  100.                 return;
  101.             }
  103.             if ($user->getOnlyQrCodeUser()) {
  104.                 $this->logger->debug('InstallAccessSubscriber: onlyQrCodeUser, must use QR login.');
  105.                 return;
  106.             }
  108.             // Dashboard-Benutzer automatisch in qrcode-Firewall einloggen
  109.             $qrcodeToken = new PostAuthenticationToken($user, 'qrcode', $user->getRoles());
  110.             $session->set(self::SESSION_KEY_QRCODE, serialize($qrcodeToken));
  111.             $session->set(self::SESSION_KEY_INSTALL_HASH, $tgaHash);
  113.             $this->logger->debug(sprintf(
  114.                 'InstallAccessSubscriber: auto-login user %d (%s) into qrcode firewall for tgaHash=%s',
  115.                 $user->getId(),
  116.                 $user->getEmail(),
  117.                 $tgaHash
  118.             ));
  119.         } catch (\Throwable $e) {
  120.             $this->logger->warning('InstallAccessSubscriber: failed to process token: '.$e->getMessage());
  121.         }
  122.     }
  123. }