Symfony2 如何使所有会话属性失效

Question

在我的Symfony2项目中，我有一个logout按钮，可以重定向到索引页面，但是当我单击Login按钮时，它直接连接而无需询问我user和password。

我怎样才能验证所有session attributes，所以如果我再次login，它应该要求我提供user和password

这是我logout行动：

public function logoutAction(Request $request)
    {    
        $this->get('security.context')->setToken(null);
        $this->get('request')->getSession()->invalidate();
        $url = $this->generateUrl('my_route');
        $response = new RedirectResponse($url);
        $response->headers->clearCookie('PHPSESSID');
        $response->send();
        return $response;
    }   

这是security.yml：

security:
    encoders:
        EnvivioUserBundleEntityUser: sha512
    role_hierarchy:
        ROLE_USER:        ROLE_USER
        ROLE_ADMIN:       ROLE_USER
        ROLE_SUPER_ADMIN: [ROLE_USER, ROLE_ADMIN, ROLE_ALLOWED_TO_SWITCH ]
    providers:        
        mine:
            id: ib_user.oauth_user_provider
    firewalls:
        dev:
            pattern: ^/(_(profiler|wdt)|css|images|js)/
            security: false        
        main:
            anonymous: true
            pattern: ^/
            oauth:
                resource_owners:
                    salesforce: "/login/check-salesforce"
                login_path:   /login
                #use_forward:  false
                failure_path: /login
                default_target_path: /upload
                oauth_user_provider:
                    service: ib_user.oauth_user_provider                
            remember_me:
                key:     "%secret%"

    access_control:
        - { path: ^/login$, role: IS_AUTHENTICATED_ANONYMOUSLY }       
        - { path: ^/admin, role: ROLE_ADMIN }

Answer 1

你可以试试：

$this->get('session')->clear();

或

$session = $this->get('session');
$ses_vars = $session->all();
foreach ($var as $key => $value) {
    $session->remove($key);
}

这也可能是 cookie 问题，请在响应>标头中检查您的 cookie，然后尝试使用该函数清除它：

http://api.symfony.com/2.3/Symfony/Component/HttpFoundation/ResponseHeaderBag.html#method_clearCookie

编辑：

由于您已启用"记住我"，因此您也需要清除该cookie，否则您执行的下一个请求将重新对用户进行身份验证，您可以为cookie指定一个名称：

  #security.yml
    
    remember_me:
             name: "%session.remember_me.name%"

在 parameters.yml 中添加 cookie 的名称

parameters:
    session.remember_me.name: EXTSESS

然后在控制器注销操作中：

$response = $this->redirectToRoute('homepageroute'); //redirect prepare the route to redirect
$this->get('security.context')->setToken(null);
$this->get('request')->getSession()->invalidate();
$remember_sess_name = $this->container->getParameter('session.remember_me.name');
$response->headers->clearCookie($remember_sess_name);
return $response;

它现在应该可以工作了。 如果这不行，则 ALT+F4 :D

Answer 2

您不需要手动执行此操作。Symfony2防火墙可以执行如下注销：

# app/config/security.yml
security:
    firewalls:
        secured_area:
            # ...
            logout:
                path:   /logout
                target: /
    # ...

接下来，您需要为此 URL 创建一个路由（但不是 控制器）：

# app/config/routing.yml
logout:
    path:   /logout

就是这样！通过将用户发送到/logout（或您配置的任何内容） 路径），Symfony将对当前用户进行取消身份验证。

用户注销后，他们将被重定向到任何内容 路径由上面的目标参数（例如主页）定义。

相关文档的链接：http://symfony.com/doc/current/book/security.html#logout