vendor/easycorp/easyadmin-bundle/src/Router/UrlSigner.php line 12

Open in your IDE?
  1. <?php
  3. namespace EasyCorp\Bundle\EasyAdminBundle\Router;
  5. use EasyCorp\Bundle\EasyAdminBundle\Config\Option\EA;
  7. trigger_deprecation(
  8.     'easycorp/easyadmin-bundle',
  9.     '4.1.0',
  10.     'EasyAdmin URLs no longer include signatures because they don\'t provide any additional security. The "%s" class will be removed in future EasyAdmin versions, so you should stop using it.',
  11.     __CLASS__
  12. );
  14. /**
  15.  * This class is entirely based on Symfony\Component\HttpKernel\UriSigner.
  16.  * (c) Fabien Potencier <fabien@symfony.com> - MIT License.
  17.  *
  18.  * @author Javier Eguiluz <javier.eguiluz@gmail.com>
  19.  */
  20. final class UrlSigner
  21. {
  22.     private string $kernelSecret;
  24.     public function __construct(string $kernelSecret)
  25.     {
  26.         $this->kernelSecret = $kernelSecret;
  27.     }
  29.     /**
  30.      * Signs a URL adding a query parameter with a hash generated
  31.      * with the values of some of the URL query parameters.
  32.      */
  33.     public function sign(string $url): string
  34.     {
  35.         $urlParts = parse_url($url);
  36.         if (isset($urlParts['query'])) {
  37.             parse_str($urlParts['query'], $queryParams);
  38.         } else {
  39.             $queryParams = [];
  40.         }
  42.         $queryParams[EA::URL_SIGNATURE] = $this->computeHash($this->getQueryParamsToSign($queryParams));
  44.         return $this->buildUrl($urlParts, $queryParams);
  45.     }
  47.     /**
  48.      * Checks that a URL contains a valid signature.
  49.      */
  50.     public function check(string $url): bool
  51.     {
  52.         $urlParts = parse_url($url);
  53.         if (isset($urlParts['query'])) {
  54.             parse_str($urlParts['query'], $queryParams);
  55.         } else {
  56.             $queryParams = [];
  57.         }
  59.         // this differs from Symfony's UriSigner behavior: if the URL doesn't contain any
  60.         // query parameters, then consider that the signature is OK (even if there's no signature)
  61.         if ([] === $queryParams) {
  62.             return true;
  63.         }
  65.         if (!isset($queryParams[EA::URL_SIGNATURE]) || empty($queryParams[EA::URL_SIGNATURE])) {
  66.             return false;
  67.         }
  69.         $expectedHash = $queryParams[EA::URL_SIGNATURE];
  70.         $calculatedHash = $this->computeHash($this->getQueryParamsToSign($queryParams));
  72.         return hash_equals($calculatedHash, $expectedHash);
  73.     }
  75.     private function computeHash(array $queryParameters): string
  76.     {
  77.         // Base64 hashes include some characters which are not compatible with
  78.         // query strings, so we replace them to avoid encoding them in the query string
  79.         return str_replace(
  80.             ['+', '/', '='],
  81.             ['-', '_', ''],
  82.             base64_encode(hash_hmac('sha256', http_build_query($queryParameters), $this->kernelSecret, true))
  83.         );
  84.     }
  86.     /**
  87.      * Instead of signing the entire URL, including all its query parameters,
  88.      * sign only a few parameters that can be used to attack a backend by:.
  89.      *
  90.      *   * Enumerating all entities of certain type (EA::ENTITY_ID)
  91.      *   * Accessing all application entities (EA::CRUD_CONTROLLER_FQCN)
  92.      *   * Accessing any CRUD controller method (EA::CRUD_ACTION)
  93.      *   * Accessing any application route (EA::ROUTE_NAME)
  94.      *   * Meddling with the parameters of any application route (EA::ROUTE_PARAMS)
  95.      *
  96.      * The rest of query parameters are not relevant for the signature (EA::PAGE, EA::SORT, etc.)
  97.      * or are dynamically set by the user (EA::QUERY, EA::FILTERS, etc.) so they can't be
  98.      * included in a signature calculated before providing that data.
  99.      */
  100.     private function getQueryParamsToSign(array $queryParams): array
  101.     {
  102.         $signableQueryParams = array_intersect_key($queryParams, [
  103.             EA::CRUD_ACTION => 0,
  104.             EA::CRUD_CONTROLLER_FQCN => 1,
  105.             EA::ENTITY_ID => 2,
  106.             EA::ROUTE_NAME => 3,
  107.             EA::ROUTE_PARAMS => 4,
  108.         ]);
  110.         ksort($signableQueryParams, \SORT_STRING);
  112.         return $signableQueryParams;
  113.     }
  115.     private function buildUrl(array $urlParts, array $queryParams = []): string
  116.     {
  117.         ksort($queryParams, \SORT_STRING);
  118.         $urlParts['query'] = http_build_query($queryParams, '', '&');
  120.         $scheme = isset($urlParts['scheme']) ? $urlParts['scheme'].'://' : '';
  121.         $host = $urlParts['host'] ?? '';
  122.         $port = isset($urlParts['port']) ? ':'.$urlParts['port'] : '';
  123.         $user = $urlParts['user'] ?? '';
  124.         $pass = isset($urlParts['pass']) ? ':'.$urlParts['pass'] : '';
  125.         $pass = ($user || $pass) ? "$pass@" : '';
  126.         $path = $urlParts['path'] ?? '';
  127.         $query = isset($urlParts['query']) && $urlParts['query'] ? '?'.$urlParts['query'] : '';
  128.         $fragment = isset($urlParts['fragment']) ? '#'.$urlParts['fragment'] : '';
  130.         return $scheme.$user.$pass.$host.$port.$path.$query.$fragment;
  131.     }
  132. }