Un rilascio stabile di Symfony2 era previsto per la fine di quest’anno, ma con molta probabilità questo non avverrà in quanto mancano o risultano incomplete alcune componenti fondamentali come la gestione delle credenziali, l’internazionalizzazione, la validazione dei form e l’installazione dei bundle (nuovo concetto di plugin e non solo) da linea di comando.
Si ipotizza che ci sarà un primo vero rilascio in occasione della SymfonyLive 2011 che si terrà a Parigi il 3 e 4 marzo.
Nonostante manchino ancora queste componenti la comunità non è rimasta a guardare e, oltre a dare un importante contributo alla sviluppo del nuovo framework, ha già “sfornato” diversi progetti basati su Symfony2 e diversi bundle.
Da segnalare anche la nascita dello sviluppo di Symfony2 CMF, un Content Management Framework al cui sviluppo paterciperanno diverse aziende internazionali.
Symfony2 CMF sarà oggetto di un prossimo post.

Per ora godetevi Symfony2 PR3 e non esitate a contribuire allo sviluppo del framework stesso!

1
2
3

login:
  url:   /login
  param: { module: default, action: login }

Inseriamo poi le credenziali dell’utente che deve accedere al backend, nel file app.yml dell’applicazione:

1
2
3
4

all:
  admin_user:     admin
  # qui conviene mettere una password migliore :-)
  admin_password: admin

Basterà quindi inserire la sequente azione nel modulo default:

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21

public function executeLogin(sfWebRequest $request)
{
  if ($this->getUser()->isAuthenticated())
  {
    return $this->redirect('@homepage');
  }
  if (isset($_SERVER['PHP_AUTH_USER']))
  {
    if ($_SERVER['PHP_AUTH_USER'] == sfConfig::get('app_admin_user') &&
        $_SERVER['PHP_AUTH_PW'] == sfConfig::get('app_admin_password'))
    {
      $this->getUser()->setAuthenticated(true);
 
      return $this->redirect($request->getUri());
    }
  }
  $this->getResponse()->setStatusCode(401);
  $this->getResponse()->setHttpHeader('WWW_Authenticate', 'Basic realm="Authentication required"');
 
  return sfView::NONE;
}

E il gioco è fatto. Eventualmente si può personalizzare il messaggio “Authentication required”.
Nei test funzionali, sarà possibile effettuare il login usando il metodo setAuth(), con l’accortezza di seguire il redirect dopo il primo get.

1
2
3
4
5

$browser->
  setAuth('admin', 'admin')->
  get('/')->
  with('response')->isRedirected()->followRedirect()->
 // eccetera...

1
2
3
4

if (sfConfig::get('sf_i18n'))
{
  $this->widgetSchema->getFormFormatter()->setTranslationCatalogue('sf_admin');
}

Tutto qui. Basta mettere queste poche righe di codice nelle classi BaseFormFilterDoctrine.class.php o BaseFormFilterPropel.class.php e il gioco è fatto. I filtri saranno tradotti, anche in altre eventuali lingue supportate dall’applicazione.

Si tratta di un rilascio che va a chiudere un problema di sicurezza legato al motore di caching delle pagine.
A differenza delle versioni precedenti alla 1.3 e 1.4 symfony permette di salvare in cache anche gli url contenenti parametri GET (e.s. http://esempio.com/?id_articolo=1).
Questi parametri non venivano correttamente analizzati e verificati: con un url del tipo “http://esempio.com/?id_articolo=..”, notare gli ultimi due punti, la rispettiva cache veniva salvata
in una directory superiore a quella voluta.
La vulnerabilità è di tipo Directory Traversal grazie alla quale è possibile accedere a zone del filesystem non permesse.
La gravità di tale falla dipende dai permessi dei file o directory presenti nell’ambiente di produzione e riguarda esclusivamente gli url configurati per essere salvati in cache.

Changeset 1.3.6 e 1.4.6

• Unit and functional test
• Symfony 2 e Propel 1.5
• Le novità di Doctrine 2 e Symfony 2
• Migliorie varie apportate al framework in questi mesi di sviluppo
• Il nuovo form framework
• Symfony 2 “Killer Feature”

Cosa sarà mai questa “Killer Feature” di Symfony 2?
Per saperlo dovremo attendere il 22 giugno!
Per maggiori informazioni e per l’aquisto del biglietto andate sul sito ufficiale della manifestazione: www.symfony-live.com.

La più importante novità introdotta è sicuramente la fix ad una vulnerabilità (ticket) riguardante le classi form di Doctrine e Propel che permetteva ad un utente malintenzionato di aggiornare un record del database diverso da quello presentato nella form di partenza.

Sono stata anche aggiornate due importanti librerie: Propel versione 1.4.2 e Lime versione 1.0.9.

Qui trovate il CHANGELOG completo.

Sempre a riguardo di Symfony 2 segnaliamo un interessante thread sulla mailing list ufficiale del progetto sui controller e una relativa ai bundle.