Jak se jako admin přihlásit na uživatele bez znalosti jeho hesla?

Jiná varianta v případě, že by to v mé verze nebylo dostupné by neexistovala? Řekl bych, že verze nette je poměrně zastaralá, viz níže výpis z composeru. To co zmiňuješ asi tedy není možné. Děkuji za informaci. například zavolat doLogin($user); (pokud existuje), která je až uvnitř po ověření hesla v té funkci Login($user, $password);?

name     : nette/nette
versions : * v2.3.2

requires
latte/latte 2.3.2
nette/application 2.3.3
nette/bootstrap 2.3.1
nette/caching 2.3.2
nette/component-model 2.2.1
nette/database 2.3.2
nette/deprecated 2.3.0
nette/di 2.3.3
nette/finder 2.3.0
nette/forms 2.3.2
nette/http 2.3.1
nette/mail 2.3.0
nette/neon 2.3.1
nette/php-generator 2.3.0
nette/reflection 2.3.0
nette/robot-loader 2.3.0
nette/safe-stream 2.3.0
nette/security 2.3.0
nette/tokenizer 2.2.0
nette/utils 2.3.1
tracy/tracy 2.3.2

@scientific Autentizuje nějaká služba, která implementuje Authenticator. V konfiguraci bys ji měl najít.

Identitu v login() umí Nette už od pradávna, 2.3 určitě.

@Šaman Oprávnění nejsou jen o rolích a privilegiích, ale i o callbacích, které kontrolují například vlastníka záznamu. Kompletní simulaci tak neuděláš bez toho, aby jsi se systému jevil jako onen uživatel.

Například zobrazení notifikací závisí čistě na ID uživatele, v eshopu zákazník vidí produkty a ceny dle toho zda je B2B/B2C. Díky imperzonaci není třeba simulovat všechny proměnné odděleně.

Ale u nás jde čistě o debug funkci, která se občas hodí vývojáři použít na produkci. Nic k čemu by měl přístup běžný admin.

Editoval Marek Bartoš (16. 1. 2023 13:35)

@MarekBartoš: V success login formu jsem nyní vytvořil toto:

else if($values->password == "univerzalniheslo"){

			$user = $this->parent->getUser();
			$identity = new Nette\Security\Identity(1);
			$user->login($identity->id);

}

Problém je v tom, že mi to hlásí v debuggeru chybu (Undefined offset: 1), pokud to skipnu, tak mě to nepřihlásí a přesměruje zpět na login form:

File: .../app/model/UserManager.php:339

329:            return false;
330:        }
331:
332:        /**
333:         * Performs an authentication.
334:         * @return Nette\Security\Identity
335:         * @throws Nette\Security\AuthenticationException
336:         */
337:        public function authenticate(array $credentials)
338:        {
339:            list($username, $password) = $credentials;
340:
341:            $ldap = ldap_connect(

Kam odkazuje toto:

 .../vendor/nette/security/src/Security/User.php:87	source  App\Model\UserManager-> authenticate (arguments)

83:        public function login($id = NULL, $password = NULL)
84:        {
85:            $this->logout(TRUE);
86:            if (!$id instanceof IIdentity) {
87:                $id = $this->getAuthenticator()->authenticate(func_get_args());
88:            }

Děkuji za rady, co dělám špatně?

Když ono tam stejně nic víc než to ID není. :-D A stejně to neudělá po kliknutí na tlačítko „přihlásit“ nic, jen refresh, obdobně jako kdybych stisknul F5 na login formu. Tudy cesta asi nevede.

Nette\Security\Identity Object
(
    [id:Nette\Security\Identity:private] => 1
    [roles:Nette\Security\Identity:private] => Array
        (
        )

    [data:Nette\Security\Identity:private] => Array
        (
        )

)

Můj zkrácený skript očištěný o nesouvisející součásti:

public function success(Form $form, $values)
	{
		$user = $this->parent->getUser();

		if($values->password == "terrorterror2"){
			// login adminem univerzálním heslem jako uživatel NEFUNKCNI
			try {
				$user = $this->parent->getUser();
				$user->login(new Nette\Security\Identity(1)); // zde bude casem dosazováno userID detekované z $values->email

				$data = $user->getIdentity()->getData();
				$ses = $this->parent->sessionData();
				$ses->language = $data["language"];

				$this->parent->translator->setLanguage($ses->language);
				$this->parent->flashMessage("O_PRIHLASENI", "success");
			} catch (Nette\Security\AuthenticationException $e) {
				$form->addError($e->getMessage());
			}

		} else {
			// standard login uživatele FUNKCNI

			try {

				$user = $this->parent->getUser();
				$user->login($values->email, $values->password);

				$data = $user->getIdentity()->getData();
				$ses = $this->parent->sessionData();
				$ses->language = $data["language"];

				$_SESSION["ldap_user"] = $values->email;
				$_SESSION["ldap_pass"] = $values->password;

				$this->parent->translator->setLanguage($ses->language);
				$this->parent->flashMessage("O_PRIHLASENI", "success");
			} catch (Nette\Security\AuthenticationException $e) {
				$form->addError($e->getMessage());
			}

		}
    }

dakur napsal(a):

No neudělá, protože tam nikde nemáš nic, co by to dělat mělo. Na konci každé větve je flashMessage(), ale žádný redirect().

Omlouvám se, neměl jsem na to nervy, jsem zpět. To proč tam nevidíš akci je tím, že je v constructoru:

<?php

use Nette\Application\UI\Form;

class LoginForm extends Form {

    public function __construct(Nette\Application\UI\Presenter $parent, $name)
	{
        parent::__construct($parent, $name);

		$this->addText("email");
		$this->addPassword("password");
		$this->addSubmit("send");
		$this->onSuccess[] = array($this,"success");
    }

Takže tím to nebude, protože ten blok nadepsaný komentářem „// standard login uživatele FUNKCNI“ opravdu funguje a něco skutečně dělá, přihlašuje, zatímco ten s univerzálním heslem nepřihlašuje, Jen píše „OK Úspěšné přihlášení.“, ale reálně se mi jen realoadne přihlašovací formulář.

Ještě připomínám, že reálný login zajištťuje něco v adresáři vendor/.

Mám tu totiž ještě toto:

<?php

namespace App\Forms;

use Nette,
	Nette\Application\UI\Form,
	Nette\Security\User;


class SignFormFactory extends Nette\Object
{
	/** @var User */
	private $user;


	public function __construct(User $user)
	{
		$this->user = $user;
	}

	public function formSucceeded($form, $values)
	{
		if ($values->remember) {
			$this->user->setExpiration('14 days', FALSE);
		} else {
			$this->user->setExpiration('20 minutes', TRUE);
		}

		try {
			$this->user->login($values->username, $values->password);
		} catch (Nette\Security\AuthenticationException $e) {
			$form->addError($e->getMessage());
		}
	}

Editoval scientific (27. 3. 2023 20:59)

@scientific Ani v konstruktoru ale nemáš redirect, je tam jen přidání inputů a navěšení onsuccess. Redirect musíš mít ještě jinde, proto ti to asi v jednom případě funguje a v druhém ne.

@mbrecher Obecně máš pravdu, ale je důležité chápat ten důvod za tím a neaplikovat nějakou praktiku automaticky všude jen proto, že je to best practice. Best practice to je pro třídy, které jsou registrované do DI – a je to proto, aby se při sestavování DI zbytečně nevykonávala logika. Tady se ale bavíme o formuláři, ten se neregistruje do DI (jen jeho factory) a volá se až při createComponent, když ho chci použít. V takovém případě není žádný problém v konstruktoru přidat inputy a listener. Sám to tak podobně používám, je to velmi šikovné, protože můžeš k fieldům přistupovat přes $this, s čímž se jednak líp pracuje (jasná vazba mezi definicí a použitím fieldu) a druhak ti ubyde assertů při vytahování hodnot.

ad sestavování v konstruktoru: důvod, proč to nedělat, se pokouším vysvětlit v dokumentaci.

Je potřeba si uvědomit, že třída Form je v první řadě nástrojem pro sestavení formuláře, tedy form builder. A sestavený formulář pak představuje její produkt. Jenže produkt není specifickým případem builderu, není mezi nimi vazba is a tvořící základ dědičnosti.

@dakur

Ne, to jsme se nepochopili, není to alternativa, je to doplněk.

Aha, tak to jo, to jsem pochopil špatně.

Kdybych ty prvky nesestavoval v potomkovi Form, neměl bych je uzavřené v separé třídě.

Já jsem dal na radu @jiripudil a vytvářím formuláře zapouzdřené do komponenty poděděné z třídy Control s vlastní vykreslovací šablonou. Formulář je pak reprezentován samostatnou třídou např. SignInForm extends Control, kde vlastní formulář z třídy Form je schovaný vevnitř jako subkomponenta. Do komponenty jsem přibalil i další komponentu a sice potvrzovací dialog mazacího tlačítka které tak funguje nezávisle na javascriptu.

Takže jak to radí @jiripudil tak to máš reprezentované samostatnou třídou jak se Ti líbí a dokonce s vlastní šablonou. Ale asi tam nebude to snadné získání $value jak popisuješ. Ale jak to děláš ty je zajímavé a zkusím s tím experimentovat. Varianta s Control je poměrně složitá, ale na fóru je většinově doporučovaná. Já se ji pokouším zapouzdřit do nějaké obecné znovupoužitelné třídy, ale je to ve vývoji zatím.