⚡ zappzarapp/security

Umfassende PHP-Sicherheitsbibliothek mit CSP, Security Headers, CSRF-Schutz, sicheren Cookies, Passwortvalidierung, Eingabebereinigung, Rate Limiting, SRI, Secrets-Laden, Verschlüsselung, Session-Sicherheit, TOTP-Zwei-Faktor- Authentifizierung, signierten URLs und Sicherheits-Ereignisprotokollierung.

Highlights

• All-in-one — 17 Sicherheitsmodule in einem einzigen, kombinierbaren Paket
• Sicherheitsstandard — strenge CSP, kein unsafe-*, HTTPS-first
• Framework-unabhängig — funktioniert mit jeder PHP-8.4+-Anwendung
• Unveränderlich & typsicher — readonly-Klassen, Enums, with*()-API
• Qualitätsgesichert — PHPStan Level 8, Psalm Level 1, 100 % Mutation Score, Deptrac-Architekturprüfung
• PSR-kompatibel — PSR-3 (Logging), PSR-15 (Middleware), PSR-18 (HTTP- Client)

Module

Anforderungen

• PHP ^8.4
• ext-dom
• ext-libxml
• ext-sodium

Installation

composer require zappzarapp/security

Schnellstart

Security Headers

use Zappzarapp\Security\Headers\Builder\SecurityHeadersBuilder;

$headers = SecurityHeadersBuilder::recommended()->build();
foreach ($headers as $name => $value) {
    header("{$name}: {$value}");
}

CSP mit Nonces

use Zappzarapp\Security\Csp\HeaderBuilder;
use Zappzarapp\Security\Csp\Directive\CspDirectives;
use Zappzarapp\Security\Csp\Nonce\NonceGenerator;

$generator = new NonceGenerator();
$csp = HeaderBuilder::build(CspDirectives::strict(), $generator);
header("Content-Security-Policy: {$csp}");

$nonce = $generator->get();
echo "<script nonce=\"{$nonce}\">console.log('Safe!');</script>";

CSRF-Schutz

use Zappzarapp\Security\Csrf\CsrfProtection;
use Zappzarapp\Security\Csrf\Storage\SessionCsrfStorage;

$csrf = new CsrfProtection(new SessionCsrfStorage());

// Token für Formular generieren
$token = $csrf->generateToken();
echo '<input type="hidden" name="_token" value="' . $token->value() . '">';

// Bei Übermittlung validieren
if (!$csrf->validateToken($_POST['_token'])) {
    throw new Exception('CSRF validation failed');
}

Eingabebereinigung

use Zappzarapp\Security\Sanitization\Html\HtmlSanitizer;
use Zappzarapp\Security\Sanitization\Path\PathValidationConfig;
use Zappzarapp\Security\Sanitization\Path\PathValidator;

// HTML bereinigen (entfernt gefährliche Tags/Attribute)
$sanitizer = new HtmlSanitizer();
$safe = $sanitizer->sanitize($userInput);

// Dateipfade validieren (Directory Traversal verhindern)
$validator = new PathValidator(new PathValidationConfig(basePath: '/var/www/uploads'));
if (!$validator->isSafe($userPath)) {
    throw new Exception('Invalid path');
}

Weitere detaillierte Beispiele für alle Module finden Sie in der Dokumentation.

Dokumentation

Jedes Modul verfügt über eine ausführliche API-Dokumentation mit Klassenreferenzen, Konfigurationsoptionen und Codebeispielen:

Versionierung

Diese Bibliothek folgt Semantic Versioning 2.0.0.

Alle Klassen, Schnittstellen und Methoden im Zappzarapp\Security-Namespace gelten als öffentliche API, sofern sie nicht mit @internal markiert sind. Breaking Changes erfolgen nur in Hauptversionen, mit Deprecation-Warnungen mindestens eine Nebenversion vor der Entfernung.

Releases werden automatisiert über release-please erstellt und GPG-signiert. Siehe CHANGELOG.md für den Versionsverlauf.

Sicherheit

Siehe SECURITY.md für die Meldung von Schwachstellen und Sicherheitshinweise.

Mitwirken

Siehe CONTRIBUTING.md für die Entwicklungsumgebung und Richtlinien zur Mitarbeit.

Lizenz

MIT-Lizenz — siehe LICENSE-Datei für Details.