66cc8c8ade
Commit technique : reproduit à l'identique l'état non commité de la copie de travail (sécurisation V7.8, CSP à nonce, Session, migration des droits) afin que le travail d'ergonomie qui suit soit isolable. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
60 lines
1.7 KiB
PHP
60 lines
1.7 KiB
PHP
<?php
|
|
|
|
declare(strict_types=1);
|
|
|
|
namespace App\Core;
|
|
|
|
/**
|
|
* Démarrage unique et durci de la session PHP.
|
|
*
|
|
* Les mêmes garanties sont posées ici et dans docker/php/php.ini : le php.ini
|
|
* ne s'applique qu'au conteneur fourni, alors que ce code protège aussi les
|
|
* déploiements sur un serveur PHP existant dont la configuration est inconnue.
|
|
*/
|
|
final class Session
|
|
{
|
|
private static bool $started = false;
|
|
|
|
public static function start(): void
|
|
{
|
|
if (self::$started || session_status() === PHP_SESSION_ACTIVE) {
|
|
self::$started = true;
|
|
return;
|
|
}
|
|
|
|
if (!headers_sent()) {
|
|
ini_set('session.use_only_cookies', '1');
|
|
ini_set('session.use_strict_mode', '1');
|
|
session_set_cookie_params([
|
|
'lifetime' => 0,
|
|
'path' => '/',
|
|
'domain' => '',
|
|
'secure' => self::isHttps(),
|
|
'httponly' => true,
|
|
'samesite' => 'Lax',
|
|
]);
|
|
}
|
|
|
|
session_start();
|
|
self::$started = true;
|
|
}
|
|
|
|
/**
|
|
* Vrai si la requête courante arrive en HTTPS, directement ou via un proxy
|
|
* de confiance. Sans cette détection, le cookie de session serait marqué
|
|
* « secure » sur une installation HTTP et la session ne fonctionnerait plus.
|
|
*/
|
|
public static function isHttps(): bool
|
|
{
|
|
if (($_SERVER['HTTPS'] ?? '') !== '' && strtolower((string) $_SERVER['HTTPS']) !== 'off') {
|
|
return true;
|
|
}
|
|
|
|
if ((int) ($_SERVER['SERVER_PORT'] ?? 0) === 443) {
|
|
return true;
|
|
}
|
|
|
|
return strtolower((string) ($_SERVER['HTTP_X_FORWARDED_PROTO'] ?? '')) === 'https';
|
|
}
|
|
}
|