vendor/contao/core-bundle/src/Csrf/ContaoCsrfTokenManager.php line 117

Open in your IDE?
  1. <?php
  3. declare(strict_types=1);
  5. /*
  6.  * This file is part of Contao.
  7.  *
  8.  * (c) Leo Feyer
  9.  *
  10.  * @license LGPL-3.0-or-later
  11.  */
  13. namespace Contao\CoreBundle\Csrf;
  15. use Symfony\Component\HttpFoundation\Request;
  16. use Symfony\Component\HttpFoundation\RequestStack;
  17. use Symfony\Component\HttpFoundation\Session\Session;
  18. use Symfony\Component\Security\Csrf\CsrfToken;
  19. use Symfony\Component\Security\Csrf\CsrfTokenManager;
  20. use Symfony\Component\Security\Csrf\TokenGenerator\TokenGeneratorInterface;
  21. use Symfony\Component\Security\Csrf\TokenStorage\TokenStorageInterface;
  22. use Symfony\Contracts\Service\ResetInterface;
  24. class ContaoCsrfTokenManager extends CsrfTokenManager implements ResetInterface
  25. {
  26.     private RequestStack $requestStack;
  27.     private string $csrfCookiePrefix;
  28.     private ?string $defaultTokenName;
  30.     /**
  31.      * @var array<int, string>
  32.      */
  33.     private array $usedTokenValues = [];
  35.     /**
  36.      * @var array<string, CsrfToken>
  37.      */
  38.     private array $tokenCache = [];
  40.     /**
  41.      * @param string|RequestStack|callable|null $namespace
  42.      */
  43.     public function __construct(RequestStack $requestStack, string $csrfCookiePrefix, ?TokenGeneratorInterface $generator = null, ?TokenStorageInterface $storage = null, $namespace = null, ?string $defaultTokenName = null)
  44.     {
  45.         $this->requestStack = $requestStack;
  46.         $this->csrfCookiePrefix = $csrfCookiePrefix;
  47.         $this->defaultTokenName = $defaultTokenName;
  49.         parent::__construct($generator, $storage, $namespace);
  50.     }
  52.     /**
  53.      * @return array<int, string>
  54.      */
  55.     public function getUsedTokenValues(): array
  56.     {
  57.         return $this->usedTokenValues;
  58.     }
  60.     public function getToken($tokenId): CsrfToken
  61.     {
  62.         $this->tokenCache[$tokenId] ??= parent::getToken($tokenId);
  63.         $this->usedTokenValues[] = $this->tokenCache[$tokenId]->getValue();
  65.         return $this->tokenCache[$tokenId];
  66.     }
  68.     public function refreshToken($tokenId): CsrfToken
  69.     {
  70.         $this->tokenCache[$tokenId] = parent::refreshToken($tokenId);
  71.         $this->usedTokenValues[] = $this->tokenCache[$tokenId]->getValue();
  73.         return $this->tokenCache[$tokenId];
  74.     }
  76.     public function removeToken(string $tokenId): ?string
  77.     {
  78.         unset($this->tokenCache[$tokenId]);
  80.         return parent::removeToken($tokenId);
  81.     }
  83.     public function isTokenValid(CsrfToken $token): bool
  84.     {
  85.         if (
  86.             ($request = $this->requestStack->getMainRequest())
  87.             && 'POST' === $request->getRealMethod()
  88.             && $this->canSkipTokenValidation($request, $this->csrfCookiePrefix.$token->getId())
  89.         ) {
  90.             return true;
  91.         }
  93.         return parent::isTokenValid($token);
  94.     }
  96.     /**
  97.      * Skip the CSRF token validation if the request has no cookies, no
  98.      * authenticated user and the session has not been started.
  99.      */
  100.     public function canSkipTokenValidation(Request $request, string $tokenCookieName): bool
  101.     {
  102.         return
  103.             !$request->getUserInfo()
  104.             && (
  105.                 0 === $request->cookies->count()
  106.                 || [$tokenCookieName] === $request->cookies->keys()
  107.             )
  108.             && $this->isSessionEmpty($request);
  109.     }
  111.     public function getDefaultTokenValue(): string
  112.     {
  113.         if (null === $this->defaultTokenName) {
  114.             throw new \RuntimeException('The Contao CSRF token manager was not initialized with a default token name.');
  115.         }
  117.         return $this->getToken($this->defaultTokenName)->getValue();
  118.     }
  120.     public function reset(): void
  121.     {
  122.         $this->usedTokenValues = [];
  123.         $this->tokenCache = [];
  124.     }
  126.     private function isSessionEmpty(Request $request): bool
  127.     {
  128.         if (!$request->hasSession()) {
  129.             return true;
  130.         }
  132.         $session = $request->getSession();
  134.         if (!$session->isStarted()) {
  135.             return true;
  136.         }
  138.         if ($session instanceof Session) {
  139.             // Marked @internal but no other way to check all attribute bags
  140.             return $session->isEmpty();
  141.         }
  143.         return [] === $session->all();
  144.     }
  145. }