⚡ zappzarapp/security

Biblioteca integral de seguridad para PHP que proporciona CSP, cabeceras de seguridad, protección CSRF, cookies seguras, validación de contraseñas, saneamiento de entradas, limitación de velocidad, SRI, carga de secretos, cifrado, seguridad de sesiones, autenticación de dos factores TOTP, URLs firmadas y registro de eventos de seguridad.

Características destacadas

• Todo en uno — 17 módulos de seguridad en un único paquete componible
• Seguro por defecto — CSP estricto, sin unsafe-*, prioridad a HTTPS
• Independiente del framework — funciona con cualquier aplicación PHP 8.4+
• Inmutable y seguro de tipos — clases readonly, enums, API with*()
• Respaldado por calidad — PHPStan Nivel 8, Psalm Nivel 1, 100% de puntuación de mutación, aplicación de arquitectura Deptrac
• Compatible con PSR — PSR-3 (Registro), PSR-15 (Middleware), PSR-18 (Cliente HTTP)

Módulos

Requisitos

• PHP ^8.4
• ext-dom
• ext-libxml
• ext-sodium

Instalación

composer require zappzarapp/security

Inicio rápido

Cabeceras de seguridad

use Zappzarapp\Security\Headers\Builder\SecurityHeadersBuilder;

$headers = SecurityHeadersBuilder::recommended()->build();
foreach ($headers as $name => $value) {
    header("{$name}: {$value}");
}

CSP con nonces

use Zappzarapp\Security\Csp\HeaderBuilder;
use Zappzarapp\Security\Csp\Directive\CspDirectives;
use Zappzarapp\Security\Csp\Nonce\NonceGenerator;

$generator = new NonceGenerator();
$csp = HeaderBuilder::build(CspDirectives::strict(), $generator);
header("Content-Security-Policy: {$csp}");

$nonce = $generator->get();
echo "<script nonce=\"{$nonce}\">console.log('Safe!');</script>";

Protección CSRF

use Zappzarapp\Security\Csrf\CsrfProtection;
use Zappzarapp\Security\Csrf\Storage\SessionCsrfStorage;

$csrf = new CsrfProtection(new SessionCsrfStorage());

// Generar token para el formulario
$token = $csrf->generateToken();
echo '<input type="hidden" name="_token" value="' . $token->value() . '">';

// Validar al enviar
if (!$csrf->validateToken($_POST['_token'])) {
    throw new Exception('CSRF validation failed');
}

Saneamiento de entradas

use Zappzarapp\Security\Sanitization\Html\HtmlSanitizer;
use Zappzarapp\Security\Sanitization\Path\PathValidationConfig;
use Zappzarapp\Security\Sanitization\Path\PathValidator;

// Sanear HTML (elimina etiquetas/atributos peligrosos)
$sanitizer = new HtmlSanitizer();
$safe = $sanitizer->sanitize($userInput);

// Validar rutas de archivos (previene el recorrido de directorios)
$validator = new PathValidator(new PathValidationConfig(basePath: '/var/www/uploads'));
if (!$validator->isSafe($userPath)) {
    throw new Exception('Invalid path');
}

Consulte la documentación para ver ejemplos detallados de todos los módulos.

Documentación

Cada módulo tiene documentación API detallada con referencias de clases, opciones de configuración y ejemplos de código:

Control de versiones

Esta biblioteca sigue Semantic Versioning 2.0.0.

Todas las clases, interfaces y métodos en el espacio de nombres Zappzarapp\Security se consideran API pública a menos que estén marcados con @internal. Los cambios que rompen compatibilidad solo ocurren en versiones mayores, con avisos de obsolescencia al menos una versión menor antes de la eliminación.

Los lanzamientos se automatizan mediante release-please y están firmados con GPG. Consulte CHANGELOG.md para ver el historial de lanzamientos.

Seguridad

Consulte SECURITY.md para la notificación de vulnerabilidades y consideraciones de seguridad.

Contribuciones

Consulte CONTRIBUTING.md para la configuración de desarrollo y las pautas de contribución.

Licencia

Licencia MIT: consulte el archivo LICENSE para obtener más detalles.