src/Security/OAuth2BearerAuthenticator.php line 29

Open in your IDE?
  1. <?php
  3. namespace App\Security;
  5. use League\OAuth2\Server\Exception\OAuthServerException;
  6. use League\OAuth2\Server\ResourceServer;
  7. use Lexik\Bundle\JWTAuthenticationBundle\Security\Guard\JWTTokenAuthenticator;
  8. use Psr\Log\LoggerInterface;
  9. use Symfony\Bridge\PsrHttpMessage\HttpMessageFactoryInterface;
  10. use Symfony\Component\HttpFoundation\Request;
  11. use Symfony\Component\HttpFoundation\Response;
  12. use Symfony\Component\Security\Core\Authentication\Token\TokenInterface;
  13. use Symfony\Component\Security\Core\Exception\AuthenticationException;
  14. use Symfony\Component\Security\Core\Exception\CustomUserMessageAuthenticationException;
  15. use Symfony\Component\Security\Core\User\UserInterface;
  16. use Symfony\Component\Security\Core\User\UserProviderInterface;
  17. use Symfony\Component\Security\Http\Authenticator\AbstractAuthenticator;
  18. use Symfony\Component\Security\Http\Authenticator\Passport\Badge\UserBadge;
  19. use Symfony\Component\Security\Http\Authenticator\Passport\Passport;
  20. use Symfony\Component\Security\Http\Authenticator\Passport\SelfValidatingPassport;
  22. /**
  23.  * Single API authenticator for "Authorization: Bearer" tokens. Tries league/oauth2-server
  24.  * access tokens first, then falls back to lexik JWT tokens (kept for backward compatibility
  25.  * with existing app builds). Both token types are JWTs on the same header, so handling them in
  26.  * one authenticator avoids the multi-authenticator firewall behaviour where a later failing
  27.  * authenticator overrides an earlier success.
  28.  */
  29. class OAuth2BearerAuthenticator extends AbstractAuthenticator
  30. {
  31.     public function __construct(
  32.         private HttpMessageFactoryInterface $httpMessageFactory,
  33.         private ResourceServer $resourceServer,
  34.         private UserProviderInterface $userProvider,
  35.         private JWTTokenAuthenticator $lexikAuthenticator,
  36.         private ?LoggerInterface $logger = null
  37.     ) {
  38.     }
  40.     public function supports(Request $request): ?bool
  41.     {
  42.         return str_starts_with($request->headers->get('Authorization', ''), 'Bearer ');
  43.     }
  45.     public function authenticate(Request $request): Passport
  46.     {
  47.         try {
  48.             $psrRequest = $this->resourceServer->validateAuthenticatedRequest($this->httpMessageFactory->createRequest($request));
  50.             $userIdentifier = (string) $psrRequest->getAttribute('oauth_user_id', '');
  52.             return new SelfValidatingPassport(new UserBadge($userIdentifier, function (string $id): UserInterface {
  53.                 return $this->userProvider->loadUserByIdentifier($id);
  54.             }));
  55.         } catch (OAuthServerException $e) {
  56.             $this->logger?->debug('Not an OAuth2 access token, falling back to lexik JWT.', ['message' => $e->getMessage()]);
  57.         }
  59.         // Fall back to lexik JWT: delegates token extraction, decoding and user loading.
  60.         $preAuthToken = $this->lexikAuthenticator->getCredentials($request);
  61.         if (null === $preAuthToken) {
  62.             throw new CustomUserMessageAuthenticationException('No token provided.');
  63.         }
  64.         $user = $this->lexikAuthenticator->getUser($preAuthToken, $this->userProvider);
  66.         return new SelfValidatingPassport(new UserBadge($user->getUsername(), fn (): UserInterface => $user));
  67.     }
  69.     public function onAuthenticationSuccess(Request $request, TokenInterface $token, string $firewallName): ?Response
  70.     {
  71.         return null;
  72.     }
  74.     public function onAuthenticationFailure(Request $request, AuthenticationException $exception): ?Response
  75.     {
  76.         // Let the firewall entry point produce the 401.
  77.         return null;
  78.     }
  79. }