src/EventSubscriber/UploadGuardSubscriber.php line 25

Open in your IDE?
  1. <?php
  3. namespace App\EventSubscriber;
  5. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  6. use Symfony\Component\HttpFoundation\File\UploadedFile;
  7. use Symfony\Component\HttpFoundation\Response;
  8. use Symfony\Component\HttpKernel\Event\RequestEvent;
  9. use Symfony\Component\HttpKernel\KernelEvents;
  11. /**
  12.  * SÉCURITÉ : contrôle central de tous les fichiers envoyés au backoffice.
  13.  * Refuse les noms contenant une extension exécutable (php, phtml, phar, cgi, sh, exe...), y compris en
  14.  * double extension (image.php.jpg), les noms cachés (.htaccess) et les fichiers qui contiennent du code PHP.
  15.  */
  16. class UploadGuardSubscriber implements EventSubscriberInterface
  17. {
  18.     private const FORBIDDEN = '~\.(php\d*|phtml|pht|phps|phar|inc|pl|py|cgi|sh|bash|shtml|exe|bat|cmd|com|msi|jsp|jspx|asp|aspx|htaccess|htpasswd|ini)(\.|$)~i';
  20.     public static function getSubscribedEvents(): array
  21.     {
  22.         return [KernelEvents::REQUEST => ['onKernelRequest', 5]];
  23.     }
  25.     public function onKernelRequest(RequestEvent $event): void
  26.     {
  27.         if (!$event->isMainRequest()) {
  28.             return;
  29.         }
  30.         $request = $event->getRequest();
  31.         if ($request->files->count() === 0) {
  32.             return;
  33.         }
  35.         $fichiers = [];
  36.         $this->collecter($request->files->all(), $fichiers);
  38.         foreach ($fichiers as $f) {
  39.             if (!$this->estAcceptable($f)) {
  40.                 $event->setResponse(new Response(
  41.                     'Type de fichier non autorisé.',
  42.                     400,
  43.                     ['Content-Type' => 'text/plain; charset=UTF-8']
  44.                 ));
  45.                 return;
  46.             }
  47.         }
  48.     }
  50.     private function collecter($valeur, array &$sortie): void
  51.     {
  52.         if ($valeur instanceof UploadedFile) {
  53.             $sortie[] = $valeur;
  54.         } elseif (\is_array($valeur)) {
  55.             foreach ($valeur as $v) {
  56.                 $this->collecter($v, $sortie);
  57.             }
  58.         }
  59.     }
  61.     private function estAcceptable(UploadedFile $f): bool
  62.     {
  63.         $nom = (string) $f->getClientOriginalName();
  64.         if ($nom === '' || str_contains($nom, "\0") || $nom[0] === '.' || preg_match(self::FORBIDDEN, $nom)) {
  65.             return false;
  66.         }
  68.         $chemin = $f->getPathname();
  69.         if ($f->isValid() && is_readable($chemin)) {
  70.             $debut = (string) @file_get_contents($chemin, false, null, 0, 2 * 1024 * 1024);
  71.             if (preg_match('~<\?php|<\?=|<\?\s~i', $debut)) {
  72.                 return false;
  73.             }
  74.         }
  76.         return true;
  77.     }
  78. }