src/Bidcoz/Bundle/CoreBundle/Security/Csrf/ResilientCsrfTokenManager.php line 22

Open in your IDE?
  1. <?php
  3. namespace Bidcoz\Bundle\CoreBundle\Security\Csrf;
  5. use Bidcoz\Bundle\CoreBundle\Entity\User;
  6. use Psr\Log\LoggerInterface;
  7. use Symfony\Component\HttpFoundation\RequestStack;
  8. use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorageInterface;
  9. use Symfony\Component\Security\Csrf\CsrfToken;
  10. use Symfony\Component\Security\Csrf\CsrfTokenManagerInterface;
  12. /**
  13.  * Decorator that accepts failed CSRF tokens for authenticated ManageBundle routes.
  14.  *
  15.  * SameSite=Lax cookies already prevent cross-site form submissions, so CSRF
  16.  * validation in the management area is defense-in-depth. When session issues
  17.  * (deploy-triggered GC, save_path problems) cause token mismatches, this
  18.  * decorator prevents authenticated users from being blocked.
  19.  *
  20.  * Public forms (login, registration, donations) remain strictly validated.
  21.  */
  22. class ResilientCsrfTokenManager implements CsrfTokenManagerInterface
  23. {
  24.     private CsrfTokenManagerInterface $inner;
  25.     private TokenStorageInterface $tokenStorage;
  26.     private RequestStack $requestStack;
  27.     private LoggerInterface $logger;
  29.     public function __construct(
  30.         CsrfTokenManagerInterface $inner,
  31.         TokenStorageInterface $tokenStorage,
  32.         RequestStack $requestStack,
  33.         LoggerInterface $logger
  34.     ) {
  35.         $this->inner = $inner;
  36.         $this->tokenStorage = $tokenStorage;
  37.         $this->requestStack = $requestStack;
  38.         $this->logger = $logger;
  39.     }
  41.     public function getToken(string $tokenId): CsrfToken
  42.     {
  43.         return $this->inner->getToken($tokenId);
  44.     }
  46.     public function refreshToken(string $tokenId): CsrfToken
  47.     {
  48.         return $this->inner->refreshToken($tokenId);
  49.     }
  51.     public function removeToken(string $tokenId): ?string
  52.     {
  53.         return $this->inner->removeToken($tokenId);
  54.     }
  56.     public function isTokenValid(CsrfToken $token): bool
  57.     {
  58.         if ($this->inner->isTokenValid($token)) {
  59.             return true;
  60.         }
  62.         if ($this->shouldBypassValidation()) {
  63.             $request = $this->requestStack->getCurrentRequest();
  64.             $this->logger->warning('CSRF bypass: accepting failed token for authenticated management route', [
  65.                 'route' => $request ? $request->attributes->get('_route') : 'unknown',
  66.                 'controller' => $request ? $request->attributes->get('_controller', '') : 'unknown',
  67.                 'token_id' => $token->getId(),
  68.             ]);
  70.             return true;
  71.         }
  73.         return false;
  74.     }
  76.     private function shouldBypassValidation(): bool
  77.     {
  78.         $request = $this->requestStack->getCurrentRequest();
  79.         if (!$request) {
  80.             return false;
  81.         }
  83.         // Check controller belongs to ManageBundle
  84.         $controller = $request->attributes->get('_controller', '');
  85.         if (strpos($controller, 'ManageBundle\\Controller') === false) {
  86.             return false;
  87.         }
  89.         // Check user is authenticated
  90.         $token = $this->tokenStorage->getToken();
  92.         return $token && $token->getUser() instanceof User;
  93.     }
  94. }