⚡ zappzarapp/security

Bibliothèque de sécurité PHP complète offrant CSP, en-têtes de sécurité, protection CSRF, cookies sécurisés, validation de mots de passe, assainissement des entrées, limitation de débit, SRI, chargement de secrets, chiffrement, sécurité des sessions, authentification à deux facteurs TOTP, URLs signées et journalisation des événements de sécurité.

Points forts

• Tout-en-un — 17 modules de sécurité dans un seul paquet composable
• Sécurisé par défaut — CSP stricte, pas de unsafe-*, HTTPS-first
• Indépendant du framework — fonctionne avec toute application PHP 8.4+
• Immuable et type-safe — classes readonly, enums, API with*()
• Qualité garantie — PHPStan Niveau 8, Psalm Niveau 1, 100 % de score de mutation, application de l'architecture Deptrac
• Compatible PSR — PSR-3 (journalisation), PSR-15 (middleware), PSR-18 (client HTTP)

Modules

Prérequis

• PHP ^8.4
• ext-dom
• ext-libxml
• ext-sodium

Installation

composer require zappzarapp/security

Démarrage rapide

En-têtes de sécurité

use Zappzarapp\Security\Headers\Builder\SecurityHeadersBuilder;

$headers = SecurityHeadersBuilder::recommended()->build();
foreach ($headers as $name => $value) {
    header("{$name}: {$value}");
}

CSP avec nonces

use Zappzarapp\Security\Csp\HeaderBuilder;
use Zappzarapp\Security\Csp\Directive\CspDirectives;
use Zappzarapp\Security\Csp\Nonce\NonceGenerator;

$generator = new NonceGenerator();
$csp = HeaderBuilder::build(CspDirectives::strict(), $generator);
header("Content-Security-Policy: {$csp}");

$nonce = $generator->get();
echo "<script nonce=\"{$nonce}\">console.log('Safe!');</script>";

Protection CSRF

use Zappzarapp\Security\Csrf\CsrfProtection;
use Zappzarapp\Security\Csrf\Storage\SessionCsrfStorage;

$csrf = new CsrfProtection(new SessionCsrfStorage());

// Générer un jeton pour le formulaire
$token = $csrf->generateToken();
echo '<input type="hidden" name="_token" value="' . $token->value() . '">';

// Valider lors de la soumission
if (!$csrf->validateToken($_POST['_token'])) {
    throw new Exception('CSRF validation failed');
}

Assainissement des entrées

use Zappzarapp\Security\Sanitization\Html\HtmlSanitizer;
use Zappzarapp\Security\Sanitization\Path\PathValidationConfig;
use Zappzarapp\Security\Sanitization\Path\PathValidator;

// Assainir le HTML (supprime les balises/attributs dangereux)
$sanitizer = new HtmlSanitizer();
$safe = $sanitizer->sanitize($userInput);

// Valider les chemins de fichiers (empêcher le traversement de répertoires)
$validator = new PathValidator(new PathValidationConfig(basePath: '/var/www/uploads'));
if (!$validator->isSafe($userPath)) {
    throw new Exception('Invalid path');
}

Consultez la documentation pour des exemples détaillés de tous les modules.

Documentation

Chaque module dispose d'une documentation API détaillée avec des références de classes, des options de configuration et des exemples de code :

Versionnage

Cette bibliothèque suit le versionnage sémantique 2.0.0.

Toutes les classes, interfaces et méthodes de l'espace de noms Zappzarapp\Security sont considérées comme API publique, sauf indication @internal. Les changements cassants n'interviennent que dans les versions majeures, avec des avertissements de dépréciation au moins une version mineure avant la suppression.

Les versions sont automatisées via release-please et signées GPG. Consultez CHANGELOG.md pour l'historique des versions.

Sécurité

Consultez SECURITY.md pour le signalement des vulnérabilités et les considérations de sécurité.

Contribution

Consultez CONTRIBUTING.md pour la configuration de développement et les directives de contribution.

Licence

Licence MIT — voir le fichier LICENSE pour plus de détails.