src/EventSubscriber/AdminHtpasswdBasicAuthSubscriber.php line 33

Open in your IDE?
  1. <?php
  3. declare(strict_types=1);
  5. namespace App\EventSubscriber;
  7. use Symfony\Component\DependencyInjection\Attribute\Autowire;
  8. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  9. use Symfony\Component\HttpFoundation\Request;
  10. use Symfony\Component\HttpFoundation\Response;
  11. use Symfony\Component\HttpKernel\Event\RequestEvent;
  12. use Symfony\Component\HttpKernel\KernelEvents;
  14. /**
  15.  * HTTP Basic gate for /admin using Apache-style htpasswd (bcrypt lines only: htpasswd -B).
  16.  * Runs before the security firewall so it works reliably on Laragon/Apache without mod_auth expr.
  17.  */
  18. class AdminHtpasswdBasicAuthSubscriber implements EventSubscriberInterface
  19. {
  20.     public function __construct(
  21.         #[Autowire('%kernel.project_dir%')]
  22.         private readonly string $projectDir,
  23.     ) {
  24.     }
  26.     public static function getSubscribedEvents(): array
  27.     {
  28.         return [
  29.             KernelEvents::REQUEST => ['onKernelRequest', 300],
  30.         ];
  31.     }
  33.     public function onKernelRequest(RequestEvent $event): void
  34.     {
  35.         if (!$event->isMainRequest() || \PHP_SAPI === 'cli') {
  36.             return;
  37.         }
  39.         $request = $event->getRequest();
  40.         if (!str_starts_with($request->getPathInfo(), '/admin')) {
  41.             return;
  42.         }
  44.         $htpasswdPath = $this->projectDir . '/public/.htpasswd';
  45.         if (!is_readable($htpasswdPath)) {
  46.             $event->setResponse(new Response(
  47.                 'Admin HTTP Basic is enabled but public/.htpasswd is missing or not readable.',
  48.                 503
  49.             ));
  50.             $event->stopPropagation();
  52.             return;
  53.         }
  55.         $authHeader = $this->getAuthorizationHeader($request);
  56.         if (!str_starts_with($authHeader, 'Basic ')) {
  57.             $this->challenge($event);
  59.             return;
  60.         }
  62.         $decoded = base64_decode(substr($authHeader, 6), true);
  63.         if (false === $decoded || !str_contains($decoded, ':')) {
  64.             $this->challenge($event);
  66.             return;
  67.         }
  69.         [$username, $password] = explode(':', $decoded, 2);
  71.         foreach ($this->readHtpasswdLines($htpasswdPath) as $line) {
  72.             if (!str_contains($line, ':')) {
  73.                 continue;
  74.             }
  75.             [$fileUser, $hash] = explode(':', $line, 2);
  76.             if (!hash_equals($fileUser, $username)) {
  77.                 continue;
  78.             }
  79.             if (str_starts_with($hash, '$2y$') || str_starts_with($hash, '$2a$') || str_starts_with($hash, '$2b$')) {
  80.                 if (password_verify($password, $hash)) {
  81.                     return;
  82.                 }
  83.             }
  84.             $this->challenge($event);
  86.             return;
  87.         }
  89.         $this->challenge($event);
  90.     }
  92.     /**
  93.      * @return \Generator<string>
  94.      */
  95.     private function readHtpasswdLines(string $path): \Generator
  96.     {
  97.         $handle = fopen($path, 'rb');
  98.         if (false === $handle) {
  99.             return;
  100.         }
  101.         try {
  102.             while (($line = fgets($handle)) !== false) {
  103.                 $line = trim($line);
  104.                 if ($line === '' || str_starts_with($line, '#')) {
  105.                     continue;
  106.                 }
  107.                 yield $line;
  108.             }
  109.         } finally {
  110.             fclose($handle);
  111.         }
  112.     }
  114.     private function challenge(RequestEvent $event): void
  115.     {
  116.         $event->setResponse(new Response('Authentication required.', 401, [
  117.             'WWW-Authenticate' => 'Basic realm="Pimcore Admin"',
  118.         ]));
  119.         $event->stopPropagation();
  120.     }
  122.     private function getAuthorizationHeader(Request $request): string
  123.     {
  124.         $fromHeader = $request->headers->get('Authorization');
  125.         if (\is_string($fromHeader) && $fromHeader !== '') {
  126.             return $fromHeader;
  127.         }
  128.         foreach (['HTTP_AUTHORIZATION', 'REDIRECT_HTTP_AUTHORIZATION'] as $key) {
  129.             $v = $request->server->get($key);
  130.             if (\is_string($v) && $v !== '') {
  131.                 return $v;
  132.             }
  133.         }
  135.         return '';
  136.     }
  137. }