src/Security/TenantOwnershipSubscriber.php line 36

Open in your IDE?
  1. <?php
  3. namespace App\Security;
  5. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  6. use Symfony\Component\HttpKernel\Event\ControllerArgumentsEvent;
  7. use Symfony\Component\HttpKernel\KernelEvents;
  8. use Symfony\Component\Security\Core\Exception\AccessDeniedException;
  9. use Symfony\Component\Security\Core\Security;
  11. /**
  12.  * Cloisonnement multi-entreprise (SaaS) : toute entité métier injectée dans un
  13.  * contrôleur (ParamConverter "{id}") doit appartenir à l'entreprise connectée.
  14.  *
  15.  * Point unique de contrôle : les contrôleurs n'ont pas à vérifier eux-mêmes le
  16.  * propriétaire des entités reçues en argument. Une entité d'une autre
  17.  * entreprise répond 404 (on ne révèle pas son existence), un visiteur non
  18.  * connecté est renvoyé vers la connexion. Les règles sont dans TenantGuard.
  19.  */
  20. class TenantOwnershipSubscriber implements EventSubscriberInterface
  21. {
  22.     private $security;
  23.     private $tenantGuard;
  25.     public function __construct(Security $security, TenantGuard $tenantGuard)
  26.     {
  27.         $this->security = $security;
  28.         $this->tenantGuard = $tenantGuard;
  29.     }
  31.     public static function getSubscribedEvents(): array
  32.     {
  33.         return [KernelEvents::CONTROLLER_ARGUMENTS => 'onControllerArguments'];
  34.     }
  36.     public function onControllerArguments(ControllerArgumentsEvent $event): void
  37.     {
  38.         foreach ($event->getArguments() as $argument) {
  39.             if (!is_object($argument) || !$this->tenantGuard->isTenantEntity($argument)) {
  40.                 continue;
  41.             }
  43.             if (!$this->security->getUser()) {
  44.                 throw new AccessDeniedException('Connexion requise.');
  45.             }
  47.             $this->tenantGuard->denyUnlessCanAccess($argument);
  48.         }
  49.     }
  50. }