⚡ zappzarapp/security

Libreria PHP completa per la sicurezza che fornisce CSP, Security Headers, protezione CSRF, cookie sicuri, validazione delle password, sanitizzazione degli input, rate limiting, SRI, caricamento dei segreti, crittografia, sicurezza delle sessioni, autenticazione a due fattori TOTP, URL firmati e registrazione degli eventi di sicurezza.

Punti salienti

• Tutto-in-uno — 17 moduli di sicurezza in un unico pacchetto componibile
• Sicuro per impostazione predefinita — CSP rigoroso, nessun unsafe-*, HTTPS-first
• Indipendente dal framework — funziona con qualsiasi applicazione PHP 8.4+
• Immutable e type-safe — classi readonly, enum, API with*()
• Qualità garantita — PHPStan Level 8, Psalm Level 1, 100% Mutation Score, applicazione dell'architettura Deptrac
• Compatibile PSR — PSR-3 (Logging), PSR-15 (Middleware), PSR-18 (HTTP Client)

Moduli

Requisiti

• PHP ^8.4
• ext-dom
• ext-libxml
• ext-sodium

Installazione

composer require zappzarapp/security

Avvio rapido

Security Headers

use Zappzarapp\Security\Headers\Builder\SecurityHeadersBuilder;

$headers = SecurityHeadersBuilder::recommended()->build();
foreach ($headers as $name => $value) {
    header("{$name}: {$value}");
}

CSP con Nonce

use Zappzarapp\Security\Csp\HeaderBuilder;
use Zappzarapp\Security\Csp\Directive\CspDirectives;
use Zappzarapp\Security\Csp\Nonce\NonceGenerator;

$generator = new NonceGenerator();
$csp = HeaderBuilder::build(CspDirectives::strict(), $generator);
header("Content-Security-Policy: {$csp}");

$nonce = $generator->get();
echo "<script nonce=\"{$nonce}\">console.log('Safe!');</script>";

Protezione CSRF

use Zappzarapp\Security\Csrf\CsrfProtection;
use Zappzarapp\Security\Csrf\Storage\SessionCsrfStorage;

$csrf = new CsrfProtection(new SessionCsrfStorage());

// Genera token per il form
$token = $csrf->generateToken();
echo '<input type="hidden" name="_token" value="' . $token->value() . '">';

// Valida all'invio
if (!$csrf->validateToken($_POST['_token'])) {
    throw new Exception('CSRF validation failed');
}

Sanitizzazione degli input

use Zappzarapp\Security\Sanitization\Html\HtmlSanitizer;
use Zappzarapp\Security\Sanitization\Path\PathValidationConfig;
use Zappzarapp\Security\Sanitization\Path\PathValidator;

// Sanitizza HTML (rimuove tag/attributi pericolosi)
$sanitizer = new HtmlSanitizer();
$safe = $sanitizer->sanitize($userInput);

// Valida i percorsi dei file (previene directory traversal)
$validator = new PathValidator(new PathValidationConfig(basePath: '/var/www/uploads'));
if (!$validator->isSafe($userPath)) {
    throw new Exception('Invalid path');
}

Consulta la documentazione per esempi dettagliati di tutti i moduli.

Documentazione

Ogni modulo dispone di documentazione API dettagliata con riferimenti alle classi, opzioni di configurazione ed esempi di codice:

Versioning

Questa libreria segue il Semantic Versioning 2.0.0.

Tutte le classi, le interfacce e i metodi nel namespace Zappzarapp\Security sono considerati API pubblica a meno che non siano contrassegnati con @internal. Le modifiche che rompono la compatibilità avvengono solo nelle versioni major, con avvisi di deprecazione almeno una versione minor prima della rimozione.

Le release sono automatizzate tramite release-please e firmate GPG. Consulta CHANGELOG.md per la cronologia delle release.

Sicurezza

Consulta SECURITY.md per la segnalazione delle vulnerabilità e le considerazioni sulla sicurezza.

Contributi

Consulta CONTRIBUTING.md per la configurazione dello sviluppo e le linee guida per i contributi.

Licenza

Licenza MIT — consulta il file LICENSE per i dettagli.