src/EventSubscriber/AdminAuthenticationSubscriber.php line 55

Open in your IDE?
  1. <?php
  3. namespace App\EventSubscriber;
  5. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  6. use Symfony\Component\HttpFoundation\JsonResponse;
  7. use Symfony\Component\HttpFoundation\RedirectResponse;
  8. use Symfony\Component\HttpFoundation\Request;
  9. use Symfony\Component\HttpKernel\Event\RequestEvent;
  10. use Symfony\Component\HttpKernel\KernelEvents;
  11. use Symfony\Component\Routing\Generator\UrlGeneratorInterface;
  13. /**
  14.  * SÉCURITÉ (correctif d'urgence) : verrou central d'authentification.
  15.  *
  16.  * Avant, chaque page d'administration devait elle-même vérifier la session ; plus de 200 routes
  17.  * (ajout/suppression d'administrateurs, envois de fichiers, clés Stripe, etc.) ne le faisaient
  18.  * pas et étaient donc accessibles à n'importe qui sans connexion.
  19.  *
  20.  * Désormais, toute requête vers le backoffice est refusée tant que la session ne contient pas
  21.  * la marque de connexion posée par le formulaire de connexion, sauf pour les quelques routes
  22.  * strictement nécessaires pour se connecter (liste ci-dessous).
  23.  */
  24. class AdminAuthenticationSubscriber implements EventSubscriberInterface
  25. {
  26.     /** Clé de session posée à la connexion réussie (voir GlobalAdmin::verifCnx). */
  27.     public const SESSION_KEY = 'supAdT9m2XJzn4';
  29.     /** Routes accessibles SANS être connecté. */
  30.     private const PUBLIC_ROUTES = [
  31.         'connexion',
  32.         'deconnexion',
  33.         'login_user',
  34.         'verif_cnx',
  35.         'verif_cnx1',
  36.         'confirm_connexion',
  37.         'confirm_access',
  38.         'confirm_access_old',
  39.         'fos_js_routing_js',
  40.     ];
  42.     private UrlGeneratorInterface $urlGenerator;
  44.     public function __construct(UrlGeneratorInterface $urlGenerator)
  45.     {
  46.         $this->urlGenerator = $urlGenerator;
  47.     }
  49.     public static function getSubscribedEvents(): array
  50.     {
  51.         // Priorité 7 : après le routeur (32) qui détermine _route, avant les contrôleurs.
  52.         return [KernelEvents::REQUEST => ['onKernelRequest', 7]];
  53.     }
  55.     public function onKernelRequest(RequestEvent $event): void
  56.     {
  57.         if (!$event->isMainRequest()) {
  58.             return;
  59.         }
  61.         $request = $event->getRequest();
  62.         $route = (string) $request->attributes->get('_route', '');
  64.         // Pas de route trouvée (404 géré par Symfony) ou routes techniques (_wdt, _profiler, _error...)
  65.         if ($route === '' || $route[0] === '_') {
  66.             return;
  67.         }
  69.         if (\in_array($route, self::PUBLIC_ROUTES, true)) {
  70.             return;
  71.         }
  73.         if ($this->isAuthenticated($request)) {
  74.             return;
  75.         }
  77.         if ($request->isXmlHttpRequest() || $this->wantsJson($request)) {
  78.             $event->setResponse(new JsonResponse(['error' => 'Authentification requise'], 401));
  79.             return;
  80.         }
  82.         $event->setResponse(new RedirectResponse($this->urlGenerator->generate('connexion')));
  83.     }
  85.     private function isAuthenticated(Request $request): bool
  86.     {
  87.         if (!$request->hasSession()) {
  88.             return false;
  89.         }
  91.         $session = $request->getSession();
  92.         // Ne pas démarrer de session inutilement pour un visiteur sans cookie.
  93.         if (!$request->hasPreviousSession() && !$session->isStarted()) {
  94.             return false;
  95.         }
  97.         $admin = $session->get(self::SESSION_KEY);
  99.         // La déconnexion remplace la valeur par '' : une valeur vide = non connecté.
  100.         return \is_array($admin) && !empty($admin['email']) && !empty($admin['id']);
  101.     }
  103.     private function wantsJson(Request $request): bool
  104.     {
  105.         return str_contains((string) $request->headers->get('Accept', ''), 'application/json');
  106.     }
  107. }