vendor/nelmio/security-bundle/src/EventListener/ClickjackingListener.php line 45

Open in your IDE?
  1. <?php
  3. declare(strict_types=1);
  5. /*
  6.  * This file is part of the Nelmio SecurityBundle.
  7.  *
  8.  * (c) Nelmio <[email protected]>
  9.  *
  10.  * For the full copyright and license information, please view the LICENSE
  11.  * file that was distributed with this source code.
  12.  */
  14. namespace Nelmio\SecurityBundle\EventListener;
  16. use Symfony\Component\HttpKernel\Event\ResponseEvent;
  17. use Symfony\Component\HttpKernel\KernelEvents;
  19. final class ClickjackingListener extends AbstractContentTypeRestrictableListener
  20. {
  21.     /**
  22.      * @var array<string, array<string, string>>
  23.      */
  24.     private array $paths;
  26.     private ?string $hosts;
  28.     /**
  29.      * @param array<string, array<string, string>> $paths
  30.      * @param list<string>                         $contentTypes
  31.      * @param list<string>                         $hosts
  32.      */
  33.     public function __construct(array $paths, array $contentTypes = [], array $hosts = [])
  34.     {
  35.         parent::__construct($contentTypes);
  36.         $this->paths = $paths;
  37.         $this->hosts = [] !== $hosts ? '('.implode('|', $hosts).')' : null;
  38.     }
  40.     public static function getSubscribedEvents(): array
  41.     {
  42.         return [KernelEvents::RESPONSE => 'onKernelResponse'];
  43.     }
  45.     public function onKernelResponse(ResponseEvent $e): void
  46.     {
  47.         if (!$e->isMainRequest()) {
  48.             return;
  49.         }
  51.         if (!$this->isContentTypeValid($e->getResponse())) {
  52.             return;
  53.         }
  55.         $response = $e->getResponse();
  57.         if ($response->isRedirection()) {
  58.             return;
  59.         }
  61.         if ($response->headers->has('X-Frame-Options')) {
  62.             // Do not overwrite an existing header
  63.             return;
  64.         }
  66.         $request = $e->getRequest();
  68.         $host = '' === $request->getHost() ? '/' : $request->getHost();
  70.         // skip non-listed hosts
  71.         if (null !== $this->hosts && 1 !== preg_match('{'.$this->hosts.'}i', $host)) {
  72.             return;
  73.         }
  75.         $currentPath = '' === $request->getRequestUri() ? '/' : $request->getRequestUri();
  77.         foreach ($this->paths as $path => $options) {
  78.             if (1 === preg_match('{'.$path.'}i', $currentPath)) {
  79.                 if ('ALLOW' === $options['header']) {
  80.                     $response->headers->remove('X-Frame-Options');
  81.                 } else {
  82.                     $response->headers->set('X-Frame-Options', $options['header']);
  83.                 }
  85.                 return;
  86.             }
  87.         }
  88.     }
  89. }