vendor/nelmio/security-bundle/src/EventListener/ClickjackingListener.php line 47

  1. <?php
  3. declare(strict_types=1);
  5. /*
  6.  * This file is part of the Nelmio SecurityBundle.
  7.  *
  8.  * (c) Nelmio <hello@nelm.io>
  9.  *
  10.  * For the full copyright and license information, please view the LICENSE
  11.  * file that was distributed with this source code.
  12.  */
  14. namespace Nelmio\SecurityBundle\EventListener;
  16. use Symfony\Component\HttpKernel\Event\ResponseEvent;
  17. use Symfony\Component\HttpKernel\KernelEvents;
  19. final class ClickjackingListener extends AbstractContentTypeRestrictableListener
  20. {
  21.     use KernelEventForwardCompatibilityTrait;
  23.     /**
  24.      * @var array<string, array<string, string>>
  25.      */
  26.     private array $paths;
  28.     private ?string $hosts;
  30.     /**
  31.      * @param array<string, array<string, string>> $paths
  32.      * @param list<string>                         $contentTypes
  33.      * @param list<string>                         $hosts
  34.      */
  35.     public function __construct(array $paths, array $contentTypes = [], array $hosts = [])
  36.     {
  37.         parent::__construct($contentTypes);
  38.         $this->paths = $paths;
  39.         $this->hosts = [] !== $hosts ? '('.implode('|', $hosts).')' : null;
  40.     }
  42.     public static function getSubscribedEvents(): array
  43.     {
  44.         return [KernelEvents::RESPONSE => 'onKernelResponse'];
  45.     }
  47.     public function onKernelResponse(ResponseEvent $e): void
  48.     {
  49.         if (!$this->isMainRequest($e)) {
  50.             return;
  51.         }
  53.         if (!$this->isContentTypeValid($e->getResponse())) {
  54.             return;
  55.         }
  57.         $response = $e->getResponse();
  59.         if ($response->isRedirection()) {
  60.             return;
  61.         }
  63.         if ($response->headers->has('X-Frame-Options')) {
  64.             // Do not overwrite an existing header
  65.             return;
  66.         }
  68.         $request = $e->getRequest();
  70.         $host = '' === $request->getHost() ? '/' : $request->getHost();
  72.         // skip non-listed hosts
  73.         if (null !== $this->hosts && 1 !== preg_match('{'.$this->hosts.'}i', $host)) {
  74.             return;
  75.         }
  77.         $currentPath = '' === $request->getRequestUri() ? '/' : $request->getRequestUri();
  79.         foreach ($this->paths as $path => $options) {
  80.             if (1 === preg_match('{'.$path.'}i', $currentPath)) {
  81.                 if ('ALLOW' === $options['header']) {
  82.                     $response->headers->remove('X-Frame-Options');
  83.                 } else {
  84.                     $response->headers->set('X-Frame-Options', $options['header']);
  85.                 }
  87.                 return;
  88.             }
  89.         }
  90.     }
  91. }