Symfony中如何管理API密鑰

在Symfony中管理API密鑰可以通過以下幾種方法實現：

1. 使用Hawk（HTTP Basic Authentication Library）： Hawk是一個用于HTTP Basic Authentication的庫，它可以輕松地在Symfony項目中實現API密鑰管理。首先，通過Composer安裝Hawk：

composer require hawk/hawk

接下來，在config/services.yaml中配置Hawk：

services:
    hawk.auth_provider.api_key:
        class: Hawk\AuthProvider\ApiKey
        arguments: ['%api_key%']

在config/packages/security.yaml中配置Hawk作為HTTP Basic Authentication的提供者：

security:
    firewalls:
        api:
            pattern: ^/api
            security: false

    access_control:
        - { path: ^/api, roles: IS_AUTHENTICATED_ANONYMOUSLY }

    http_basic:
        realm: "API"
        type: hawk
        api_key: "%api_key%"

現在，你可以在API端點中使用api_key參數進行身份驗證。例如，在src/Controller/UserController.php中：

use Symfony\Component\HttpFoundation\Request;

public function index(Request $request)
{
    $apiKey = $request->headers->get('Authorization');
    if (!$apiKey || !$this->isApiKeyValid($apiKey)) {
        return new Response('Invalid API key', 401);
    }

    // Your logic here
}

private function isApiKeyValid($apiKey)
{
    // Implement your API key validation logic here
    return true;
}

2. 使用JWT（JSON Web Tokens）： JWT是一種用于身份驗證和授權的開放標準。在Symfony中，可以使用lexik/jwt-authentication-bundle庫來管理JWT。首先，通過Composer安裝該庫：

composer require lexik/jwt-authentication-bundle

接下來，在config/packages/security.yaml中配置JWT：

security:
    firewalls:
        api:
            pattern: ^/api
            security: false

    access_control:
        - { path: ^/api, roles: IS_AUTHENTICATED_ANONYMOUSLY }

    jwt:
        secret: '%jwt_secret%'
        algorithm: HS256
        time_window: 3600
        pass_phrase: '%jwt_pass_phrase%'

現在，你可以在API端點中使用JWT進行身份驗證。例如，在src/Controller/UserController.php中：

use Symfony\Component\HttpFoundation\Request;
use Lexik\JWTAuthenticationBundle\Exception\JWTException;

public function index(Request $request)
{
    try {
        $token = $request->headers->get('Authorization');
        if (!$token) {
            return new Response('Token not provided', 401);
        }

        $user = $this->get('lexik_jwt_authentication.encoder')->decode($token);

        // Your logic here
    } catch (JWTException $e) {
        return new Response('Invalid token', 401);
    }
}

3. 使用自定義認證提供者： 你還可以創建一個自定義的認證提供者來管理API密鑰。首先，在src/Security/Provider目錄下創建一個新的認證提供者類，例如ApiKeyProvider.php：

namespace App\Security\Provider;

use Symfony\Component\Security\Core\Authentication\Provider\AuthenticationProviderInterface;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
use Symfony\Component\Security\Core\User\UserProviderInterface;
use Symfony\Component\Security\Core\Exception\AuthenticationException;

class ApiKeyProvider implements AuthenticationProviderInterface
{
    private $userProvider;

    public function __construct(UserProviderInterface $userProvider)
    {
        $this->userProvider = $userProvider;
    }

    public function authenticate(TokenInterface $token)
    {
        // Implement your API key authentication logic here
        // Return a User object if the authentication is successful, otherwise throw an AuthenticationException
    }

    public function supports(Class $tokenClass)
    {
        return $tokenClass === YourApiTokenType::class;
    }
}

接下來，在config/packages/security.yaml中配置自定義認證提供者：

security:
    firewalls:
        api:
            pattern: ^/api
            security: false

    access_control:
        - { path: ^/api, roles: IS_AUTHENTICATED_ANONYMOUSLY }

    providers:
        api_key_provider:
            id: app.security.provider.api_key
            arguments: ['@user_provider']

現在，你可以在API端點中使用自定義認證提供者進行身份驗證。例如，在src/Controller/UserController.php中：

use Symfony\Component\HttpFoundation\Request;
use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;

public function index(Request $request)
{
    $apiKey = $request->headers->get('Authorization');
    if (!$apiKey || !$this->isApiKeyValid($apiKey)) {
        return new Response('Invalid API key', 401);
    }

    $token = new YourApiTokenType($apiKey);
    $authenticatedToken = $this->get('security.authentication.provider_manager')->authenticate($token);

    // Your logic here
}

private function isApiKeyValid($apiKey)
{
    // Implement your API key validation logic here
    return true;
}

這些方法可以幫助你在Symfony項目中管理API密鑰。你可以根據自己的需求選擇最適合你的方法。