src/AppBundle/EventSubscriber/XSSSubscriber.php line 18

Open in your IDE?
  1. <?php
  3. namespace AppBundle\EventSubscriber;
  5. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  6. use Symfony\Component\HttpKernel\Event\RequestEvent;
  7. use Symfony\Component\HttpKernel\KernelEvents;
  9. class XSSSubscriber implements EventSubscriberInterface
  10. {
  11.     public static function getSubscribedEvents(): array
  12.     {
  13.         return [
  14.             KernelEvents::REQUEST => ['onKernelRequest', 1000],
  15.         ];
  16.     }
  18.     public function onKernelRequest(RequestEvent $event): void
  19.     {
  20.         $postValues = $event->getRequest()->request->all();
  21.         if (count($postValues) > 0) {
  22.             $postValues = $this->getProtectedValues($postValues);
  23.             $event->getRequest()->request->replace($postValues);
  24.         }
  26.         $getValues = $event->getRequest()->query->all();
  27.         if (count($getValues) > 0) {
  28.             $getValues = $this->getProtectedValues($getValues);
  29.             $event->getRequest()->query->replace($getValues);
  30.         }
  31.     }
  33.     private function getProtectedValues(array &$data): array
  34.     {
  35.         foreach ($data as $key => &$value) {
  36.             if (is_array($value)) {
  37.                 $this->getProtectedValues($value);
  38.             } else {
  39.                 $data[$key] = $this->filterText($value);
  40.             }
  41.         }
  43.         return $data;
  44.     }
  46.     private function filterText(?string $value): string
  47.     {
  48.         if(null === $value || '' === trim($value)) {
  49.             return '';
  50.         }
  52.         return $this->escapeJsEvent($this->removeScriptTag(trim($value)));
  53.     }
  55.     private function escapeJsEvent(string $value): string
  56.     {
  57.         /** @var string $value */
  58.         $value = (string) preg_replace('/(<.+?)(?<=\s)on[a-z]+\s*=\s*(?:([\'"])(?!\2).+?\2|(?:\S+?\(.*?\)(?=[\s>])))(.*?>)/i', "$1 $3", $value);
  59.         return $value;
  60.     }
  62.     private function removeScriptTag(string $text): string
  63.     {
  64.         $search = [
  65.             sprintf("'<%s[^>]*?>.*?</%s>'si", 'script', 'script'),
  66.             sprintf("'<%s[^>]*?>.*?</%s>'si", 'iframe', 'iframe'),
  67.         ];
  68.         /** @var string $text */
  69.         $text = (string) preg_replace($search, ['', ''], $text);
  71.         return (string) preg_replace_callback("'&#(\d+);'", static function ($m) { return chr($m[1]); }, $text);
  72.     }
  73. }