src/EventSubscriber/RequestOriginSubscriber.php line 24

Open in your IDE?
  1. <?php
  3. namespace App\EventSubscriber;
  5. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  6. use Symfony\Component\HttpFoundation\Request;
  7. use Symfony\Component\HttpFoundation\Response;
  8. use Symfony\Component\HttpKernel\Event\RequestEvent;
  9. use Symfony\Component\HttpKernel\KernelEvents;
  11. /**
  12.  * SÉCURITÉ (protection CSRF sans modifier les formulaires) : les actions qui modifient des données
  13.  * (POST/PUT/DELETE, et toute adresse contenant "delete", "supprim", "suppr", "remove") doivent venir
  14.  * d'une page du backoffice lui-même. On compare l'en-tête Origin (ou à défaut Referer) à l'hôte du site.
  15.  * Un lien piégé sur un autre site ne peut donc plus déclencher une suppression.
  16.  */
  17. class RequestOriginSubscriber implements EventSubscriberInterface
  18. {
  19.     public static function getSubscribedEvents(): array
  20.     {
  21.         return [KernelEvents::REQUEST => ['onKernelRequest', 6]];
  22.     }
  24.     public function onKernelRequest(RequestEvent $event): void
  25.     {
  26.         if (!$event->isMainRequest()) {
  27.             return;
  28.         }
  29.         $request = $event->getRequest();
  30.         $route = (string) $request->attributes->get('_route', '');
  31.         if ($route === '' || $route[0] === '_') {
  32.             return;
  33.         }
  35.         $safeMethod = \in_array($request->getMethod(), ['GET', 'HEAD', 'OPTIONS'], true);
  36.         $sensitivePath = (bool) preg_match('~(delete|supprim|suppr|remove)~i', $request->getPathInfo());
  37.         if ($safeMethod && !$sensitivePath) {
  38.             return;
  39.         }
  41.         $source = $request->headers->get('Origin');
  42.         if ($source === null || $source === '') {
  43.             $source = $request->headers->get('Referer');
  44.         }
  46.         if ($source === null || $source === '') {
  47.             // Aucune indication d'origine : on tolère un POST (cookie SameSite=Lax), pas une suppression par simple lien.
  48.             if ($safeMethod) {
  49.                 $event->setResponse($this->refus());
  50.             }
  51.             return;
  52.         }
  54.         if (!$this->memeHote($source, $request)) {
  55.             $event->setResponse($this->refus());
  56.         }
  57.     }
  59.     private function memeHote(string $source, Request $request): bool
  60.     {
  61.         $p = parse_url($source);
  62.         if (!\is_array($p) || empty($p['host'])) {
  63.             return false;
  64.         }
  65.         $hote = strtolower($p['host']);
  66.         $port = $p['port'] ?? (($p['scheme'] ?? '') === 'https' ? 443 : 80);
  68.         $attendu = strtolower($request->getHost());
  69.         $portAttendu = $request->getPort();
  71.         return $hote === $attendu && (int) $port === (int) $portAttendu;
  72.     }
  74.     private function refus(): Response
  75.     {
  76.         return new Response('Requête refusée (origine invalide).', 403, ['Content-Type' => 'text/plain; charset=UTF-8']);
  77.     }
  78. }