⚡ zappzarapp/security

Umfassende PHP-Sicherheitsbibliothek mit CSP, Security Headers, CSRF-Schutz, sicheren Cookies, Passwortvalidierung, Eingabebereinigung, Rate Limiting, SRI, Secrets-Laden, Verschlüsselung, Session-Sicherheit, TOTP-Zwei-Faktor- Authentifizierung, signierten URLs und Sicherheits-Ereignisprotokollierung.

Highlights

• All-in-one — 17 Sicherheitsmodule in einem einzigen, kombinierbaren Paket
• Sicherheitsstandard — strenge CSP, kein unsafe-*, HTTPS-first
• Framework-unabhängig — funktioniert mit jeder PHP-8.4+-Anwendung
• Unveränderlich & typsicher — readonly-Klassen, Enums, with*()-API
• Qualitätsgesichert — PHPStan Level 8, Psalm Level 1, 100 % Mutation Score, Deptrac-Architekturprüfung
• PSR-kompatibel — PSR-3 (Logging), PSR-15 (Middleware), PSR-18 (HTTP- Client)

Module

Modul	Beschreibung	Wichtige Klassen
CSP	Content-Security-Policy-Header-Erstellung und Verstoßmeldung	CspDirectives, HeaderBuilder, NonceGenerator, CspReportParser
Headers	Sicherheitsheader (HSTS, Permissions-Policy usw.)	SecurityHeaders, SecurityHeadersBuilder
CSRF	Schutz vor Cross-Site Request Forgery	CsrfProtection, CsrfConfig
Cookie	Sichere Cookie-Verwaltung	SecureCookie, CookieBuilder, CookieOptions
Encryption	Authentifizierte XChaCha20-Poly1305-Verschlüsselung	SymmetricEncryptor, EnvelopeEncryptor, EncryptionKey, KeyRingEncryptor
Password	Passwortvalidierung und -hashing	PasswordPolicy, PwnedPasswordChecker, PepperedPasswordHasher
Sanitization	Eingabebereinigung (HTML, SQL, URI, Pfad) und Datei-Upload-Validierung	HtmlSanitizer, UriSanitizer, PathValidator, UploadValidator
RateLimiting	Rate Limiting mit mehreren Algorithmen	DefaultRateLimiter, RateLimitConfig
SRI	Subresource-Integrity-Hash-Generierung	SriHashGenerator, IntegrityAttribute
Secrets	Docker-/dateibasiertes Secrets-Laden	SecretLoader, SecretValue, FileSecretSource
Session	Session-Härtung und Fixationsschutz	SessionGuard, SessionConfig, SessionConfigurator
SignedUrl	HMAC-signierte URLs mit obligatorischem Ablauf	UrlSigner, SigningKey
TOTP	Zeitbasierte Einmalpasswörter (RFC 6238)	TotpAuthenticator, TotpSecret, ProvisioningUri, RecoveryCodeGenerator
Analyzer	Sicherheitsheader-Analyse und -Audit	SecurityHeaderAnalyzer, AnalysisResult
Scanner	CLI-Sicherheitsheader-Scanner	ScanCommand, StreamHeaderFetcher
Middleware	PSR-15-Middleware für nahtlose Framework-Integration	SecurityHeadersMiddleware, CspMiddleware, CspReportHandler, CsrfMiddleware, DoubleSubmitCsrfMiddleware, RateLimitMiddleware, CorsMiddleware
Logging	Sicherheits-Ereignisprotokollierung	SecurityAuditLogger, SecurityEvent

Anforderungen

• PHP ^8.4
• ext-dom
• ext-libxml
• ext-sodium

Installation

composer require zappzarapp/security

Schnellstart

Security Headers

use Zappzarapp\Security\Headers\Builder\SecurityHeadersBuilder;

$headers = SecurityHeadersBuilder::recommended()->build();
foreach ($headers as $name => $value) {
    header("{$name}: {$value}");
}

CSP mit Nonces

use Zappzarapp\Security\Csp\HeaderBuilder;
use Zappzarapp\Security\Csp\Directive\CspDirectives;
use Zappzarapp\Security\Csp\Nonce\NonceGenerator;

$generator = new NonceGenerator();
$csp = HeaderBuilder::build(CspDirectives::strict(), $generator);
header("Content-Security-Policy: {$csp}");

$nonce = $generator->get();
echo "<script nonce=\"{$nonce}\">console.log('Safe!');</script>";

CSRF-Schutz

use Zappzarapp\Security\Csrf\CsrfProtection;
use Zappzarapp\Security\Csrf\Storage\SessionCsrfStorage;

$csrf = new CsrfProtection(new SessionCsrfStorage());

// Token für Formular generieren
$token = $csrf->generateToken();
echo '<input type="hidden" name="_token" value="' . $token->value() . '">';

// Bei Übermittlung validieren
if (!$csrf->validateToken($_POST['_token'])) {
    throw new Exception('CSRF validation failed');
}

Eingabebereinigung

use Zappzarapp\Security\Sanitization\Html\HtmlSanitizer;
use Zappzarapp\Security\Sanitization\Path\PathValidationConfig;
use Zappzarapp\Security\Sanitization\Path\PathValidator;

// HTML bereinigen (entfernt gefährliche Tags/Attribute)
$sanitizer = new HtmlSanitizer();
$safe = $sanitizer->sanitize($userInput);