Repository navigation
Conversation
stakovicz
reviewed
Oct 11, 2026
| - { path: ^/admin/(members/reporting|association/relances|talk|slackmembers/check|healthcheck), roles: ROLE_ADMIN} | ||
| - { path: ^/member, roles: [ROLE_USER, ROLE_MEMBER_EXPIRED]} | ||
| - { path: ^/admin/, roles: ROLE_MEMBER_EXPIRED } | ||
| - { path: ^/member, roles: [ROLE_USER, ROLE_MEMBER_EXPIRED] } |
Contributor
There was a problem hiding this comment.
thought : ça me gêne d'avoir un access_control aussi précis, il reprend exactement les mêmes rôles que les isGranted. Ça va être compliqué à maintenir je trouve.
Est-ce que l'on pourrait simplifier les règles ?
| ROLE_SUPER_ADMIN: [ROLE_ADMIN, ROLE_ALLOWED_TO_SWITCH] | ||
| # Company managers keep self-service access (bridge, data migration pending) | ||
| ROLE_COMPANY_MANAGER: [ROLE_USER, ROLE_MEMBRES_READER] | ||
| # ─── Marqueur console vide : ne donne accès à rien ─── |
Contributor
There was a problem hiding this comment.
question : je ne comprends pas ce commentaire. C'est quoi console ?
Member
Author
There was a problem hiding this comment.
en gros le ROLE_ADMIN donne juste accès à la console Admin, mais pas accès aux parties de l'admin, après soit tu as un role READER/WRITER, ou tu es SUPER_ADMIN et tu as accès à tout !
This file contains hidden or bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
2 participants
Add this suggestion to a batch that can be applied as a single commit.This suggestion is invalid because no changes were made to the code.Suggestions cannot be applied while the pull request is closed.Suggestions cannot be applied while viewing a subset of changes.Only one suggestion per line can be applied in a batch.Add this suggestion to a batch that can be applied as a single commit.Applying suggestions on deleted lines is not supported.You must change the existing code in this line in order to create a valid suggestion.Outdated suggestions cannot be applied.This suggestion has been applied or marked resolved.Suggestions cannot be applied from pending reviews.Suggestions cannot be applied on multi-line comments.Suggestions cannot be applied while the pull request is queued to merge.Suggestion cannot be applied right now. Please check back later.
Description
Refonte complète du contrôle d'accès au back-office
/adminsuivant l'audit de sécurité : chaque module dispose désormais d'un couple de rôles*READER/*WRITER,ROLE_ADMINdevient un simple marqueur d'accès à la console etROLE_SUPER_ADMINn'est plus attribué automatiquement. Toutes les routes admin sont maintenant fermées explicitement (deux barrières), avec un filet default-deny. Changement cassant : les comptes avecLEVEL_ADMINne récupèrent queROLE_ADMIN(l'impersonation nécessite désormaisROLE_SUPER_ADMINattribué explicitement).Changes
#[IsGranted]sur tous les controllers admin (lecture sur les listes/exports, écriture sur les add/edit/delete), avec matrice testée par un data provider PHPUnit sur chaque route.access_control: règles explicites par module (READ sur les consultations, WRITE sur les mutations), page « Divers » réservée àROLE_SUPER_ADMIN, default-deny sur le reste de/admin.ROLE_ADMIN(marqueur console vide),ROLE_SUPER_ADMIN= tous les READ + impersonation ; rôles legacy (ROLE_VEILLE,ROLE_SITE,ROLE_FORUM,ROLE_APERO,ROLE_ANTENNE,ROLE_ANNUAIRE) forcés en pont vers les nouveaux rôles.How to test
/admin(403 sur/admin/logs,/admin/speaker, …).ROLE_SUPER_ADMIN: vérifier l'accès complet (listes en lecture + actions d'écriture) et les pagesDivers; avec un compte limité à un rôle module (ex.ROLE_VEILLE_READER) : console visible mais uniquement les pages de son module.vendor/bin/phpunit tests/integration/AppBundle/Security/AdminAccessControlTest.php: chaque route/admindoit passer la matrice d'accès au furet des rôles.