контроля доступа, кажется, игнорируется, если маршрут не найден в Symfony

Question

Мы имеем следующие параметры безопасности для нашего symfony3 проекта:

firewalls: 
    myfirewall: 
     pattern: ^/myapi 
     stateless: true 
     http_basic: ~ 
     anonymous: false 

access_control: 
    - { path: ^/myapi, ips: ['192.168.0.155'], roles: ROLE_USER } 
    - { path: ^/myapi, roles: ROLE_NO_ACCESS } 

Кроме того, что есть в памяти поставщика. Это прекрасно работает при ударах маршрутов. Вызов/myapi/resource/123 защищен. Но, к сожалению,/myapi/res нет. Запрос к этому URI приводит к 404.

Таким образом, плохие парни могут определить, существуют ли ресурсы или нет.

Кто-нибудь знает, почему это происходит/что не так? Я немного невежественный.

Спасибо!

Answer 1

Хм, кажется, Фабьен сделал это: -/https://github.com/symfony/symfony/issues/8414

Хотя действительно не такая большая проблема безопасности, это не дает нам свободу создавать наш API, как мы хотим.