58 lines
2.1 KiB
PHP
58 lines
2.1 KiB
PHP
<?php
|
|
|
|
declare(strict_types=1);
|
|
|
|
namespace App\Core;
|
|
|
|
/**
|
|
* Jeton anti-CSRF, transporté dans le corps JSON et non dans un en-tête.
|
|
*
|
|
* Le jeton est publié dans window.PTA_CONFIG.csrfToken par layouts/footer.php ;
|
|
* le JS le recopie dans chaque charge utile mutante sous la clé « csrf_token ».
|
|
* Ce choix évite d'avoir à gérer une requête préliminaire CORS et garde les
|
|
* appels fetch() identiques d'un module à l'autre.
|
|
*/
|
|
final class Csrf
|
|
{
|
|
/**
|
|
* Renvoie le jeton de la session courante, en le créant au premier appel.
|
|
* Le jeton vit aussi longtemps que la session : il n'est pas renouvelé à
|
|
* chaque requête, sans quoi deux onglets ouverts s'invalideraient l'un l'autre.
|
|
*/
|
|
public static function ensureToken(): string
|
|
{
|
|
Session::start();
|
|
|
|
if (empty($_SESSION['csrf_token'])) {
|
|
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
|
|
}
|
|
|
|
return (string) $_SESSION['csrf_token'];
|
|
}
|
|
|
|
/**
|
|
* Vérifie le jeton d'une charge utile et interrompt la requête si besoin.
|
|
*
|
|
* À appeler en tête de TOUT endpoint mutant, sans exception. La comparaison
|
|
* passe par hash_equals() pour ne pas être sensible au temps d'exécution.
|
|
*
|
|
* @param array<string, mixed> $payload Corps JSON déjà décodé.
|
|
*/
|
|
public static function assertPayload(array $payload): void
|
|
{
|
|
$expected = self::ensureToken();
|
|
$provided = (string) ($payload['csrf_token'] ?? '');
|
|
|
|
if ($provided === '' || !hash_equals($expected, $provided)) {
|
|
// Un jeton CSRF absent ou faux est le plus souvent une session
|
|
// expirée, parfois une tentative réelle : dans les deux cas la trace
|
|
// a sa place dans le journal (V7.11).
|
|
Journal::refus('CSRF_INVALIDE', 'Jeton de sécurité absent ou invalide.', [
|
|
'contexte' => ['endpoint' => basename((string) ($_SERVER['SCRIPT_NAME'] ?? 'inconnu'))],
|
|
]);
|
|
// send() termine le script : rien ne s'exécute après ce point.
|
|
JsonResponse::send(403, ['error' => 'Jeton de sécurité invalide. Rechargez la page.']);
|
|
}
|
|
}
|
|
}
|