src/EventSubscriber/LoginThrottleSubscriber.php line 34

Open in your IDE?
  1. <?php
  3. namespace App\EventSubscriber;
  5. use Psr\Cache\CacheItemPoolInterface;
  6. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  7. use Symfony\Component\HttpFoundation\Response;
  8. use Symfony\Component\HttpKernel\Event\RequestEvent;
  9. use Symfony\Component\HttpKernel\KernelEvents;
  11. /**
  12.  * SÉCURITÉ : limite les tentatives de connexion (anti force brute).
  13.  * Maximum 15 appels aux routes de connexion par adresse IP et par fenêtre de 15 minutes.
  14.  * L'adresse IP vient uniquement de REMOTE_ADDR (les en-têtes X-Forwarded-For sont falsifiables).
  15.  */
  16. class LoginThrottleSubscriber implements EventSubscriberInterface
  17. {
  18.     public const MAX_ATTEMPTS = 15;
  19.     public const WINDOW_SECONDS = 900;
  20.     private const LOGIN_ROUTES = ['login_user', 'verif_cnx', 'verif_cnx1'];
  22.     private CacheItemPoolInterface $cache;
  24.     public function __construct(CacheItemPoolInterface $cache)
  25.     {
  26.         $this->cache = $cache;
  27.     }
  29.     public static function getSubscribedEvents(): array
  30.     {
  31.         return [KernelEvents::REQUEST => ['onKernelRequest', 8]];
  32.     }
  34.     public function onKernelRequest(RequestEvent $event): void
  35.     {
  36.         if (!$event->isMainRequest()) {
  37.             return;
  38.         }
  39.         $request = $event->getRequest();
  40.         if (!\in_array($request->attributes->get('_route'), self::LOGIN_ROUTES, true)) {
  41.             return;
  42.         }
  44.         $ip = (string) $request->server->get('REMOTE_ADDR', 'inconnue');
  45.         try {
  46.             $item = $this->cache->getItem('login_throttle_' . md5($ip));
  47.             $now = time();
  48.             $data = $item->isHit() ? $item->get() : ['count' => 0, 'start' => $now];
  49.             if (!\is_array($data) || $now - ($data['start'] ?? 0) > self::WINDOW_SECONDS) {
  50.                 $data = ['count' => 0, 'start' => $now];
  51.             }
  52.             $data['count']++;
  53.             $item->set($data)->expiresAfter(self::WINDOW_SECONDS);
  54.             $this->cache->save($item);
  55.         } catch (\Throwable $e) {
  56.             return; // en cas de panne du cache, ne pas bloquer les connexions légitimes
  57.         }
  59.         if ($data['count'] > self::MAX_ATTEMPTS) {
  60.             $reste = max(1, self::WINDOW_SECONDS - (time() - $data['start']));
  61.             $event->setResponse(new Response(
  62.                 'Trop de tentatives de connexion. Réessayez dans quelques minutes.',
  63.                 429,
  64.                 ['Retry-After' => (string) $reste, 'Content-Type' => 'text/plain; charset=UTF-8']
  65.             ));
  66.         }
  67.     }
  68. }