src/EventSubscriber/AdminHtpasswdBasicAuthSubscriber.php line 31

Open in your IDE?
  1. <?php
  3. declare(strict_types=1);
  5. namespace App\EventSubscriber;
  7. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  8. use Symfony\Component\HttpFoundation\Request;
  9. use Symfony\Component\HttpFoundation\Response;
  10. use Symfony\Component\HttpKernel\Event\RequestEvent;
  11. use Symfony\Component\HttpKernel\KernelEvents;
  13. /**
  14.  * HTTP Basic gate for /admin using Apache-style htpasswd (bcrypt lines only: htpasswd -B).
  15.  * Runs before the security firewall so it works reliably on Laragon/Apache without mod_auth expr.
  16.  */
  17. class AdminHtpasswdBasicAuthSubscriber implements EventSubscriberInterface
  18. {
  19.     public function __construct(
  20.         private readonly string $projectDir,
  21.     ) {
  22.     }
  24.     public static function getSubscribedEvents(): array
  25.     {
  26.         return [
  27.             KernelEvents::REQUEST => ['onKernelRequest', 300],
  28.         ];
  29.     }
  31.     public function onKernelRequest(RequestEvent $event): void
  32.     {
  33.         if (!$event->isMainRequest() || \PHP_SAPI === 'cli') {
  34.             return;
  35.         }
  37.         $request = $event->getRequest();
  38.         if (!str_starts_with($request->getPathInfo(), '/admin')) {
  39.             return;
  40.         }
  42.         $htpasswdPath = $this->projectDir . '/public/.htpasswd';
  43.         if (!is_readable($htpasswdPath)) {
  44.             $event->setResponse(new Response(
  45.                 'Admin HTTP Basic is enabled but public/.htpasswd is missing or not readable.',
  46.                 503
  47.             ));
  48.             $event->stopPropagation();
  50.             return;
  51.         }
  53.         $authHeader = $this->getAuthorizationHeader($request);
  54.         if (!str_starts_with($authHeader, 'Basic ')) {
  55.             $this->challenge($event);
  57.             return;
  58.         }
  60.         $decoded = base64_decode(substr($authHeader, 6), true);
  61.         if (false === $decoded || !str_contains($decoded, ':')) {
  62.             $this->challenge($event);
  64.             return;
  65.         }
  67.         [$username, $password] = explode(':', $decoded, 2);
  69.         foreach ($this->readHtpasswdLines($htpasswdPath) as $line) {
  70.             if (!str_contains($line, ':')) {
  71.                 continue;
  72.             }
  73.             [$fileUser, $hash] = explode(':', $line, 2);
  74.             if (!hash_equals($fileUser, $username)) {
  75.                 continue;
  76.             }
  77.             if (str_starts_with($hash, '$2y$') || str_starts_with($hash, '$2a$') || str_starts_with($hash, '$2b$')) {
  78.                 if (password_verify($password, $hash)) {
  79.                     return;
  80.                 }
  81.             }
  82.             $this->challenge($event);
  84.             return;
  85.         }
  87.         $this->challenge($event);
  88.     }
  90.     /**
  91.      * @return \Generator<string>
  92.      */
  93.     private function readHtpasswdLines(string $path): \Generator
  94.     {
  95.         $handle = fopen($path, 'rb');
  96.         if (false === $handle) {
  97.             return;
  98.         }
  99.         try {
  100.             while (($line = fgets($handle)) !== false) {
  101.                 $line = trim($line);
  102.                 if ($line === '' || str_starts_with($line, '#')) {
  103.                     continue;
  104.                 }
  105.                 yield $line;
  106.             }
  107.         } finally {
  108.             fclose($handle);
  109.         }
  110.     }
  112.     private function challenge(RequestEvent $event): void
  113.     {
  114.         $event->setResponse(new Response('Authentication required.', 401, [
  115.             'WWW-Authenticate' => 'Basic realm="Pimcore Admin"',
  116.         ]));
  117.         $event->stopPropagation();
  118.     }
  120.     private function getAuthorizationHeader(Request $request): string
  121.     {
  122.         $fromHeader = $request->headers->get('Authorization');
  123.         if (\is_string($fromHeader) && $fromHeader !== '') {
  124.             return $fromHeader;
  125.         }
  126.         foreach (['HTTP_AUTHORIZATION', 'REDIRECT_HTTP_AUTHORIZATION'] as $key) {
  127.             $v = $request->server->get($key);
  128.             if (\is_string($v) && $v !== '') {
  129.                 return $v;
  130.             }
  131.         }
  133.         return '';
  134.     }
  135. }