⚡ zappzarapp/security

Biblioteca de segurança PHP abrangente que fornece CSP, Cabeçalhos de Segurança, proteção CSRF, Cookies Seguros, Validação de Senhas, Sanitização de Entrada, Limitação de Taxa, SRI, Carregamento de Segredos, Criptografia, Segurança de Sessão, autenticação de dois fatores TOTP, URLs Assinadas e Registro de Eventos de Segurança.

Destaques

• Tudo-em-um — 17 módulos de segurança em um único pacote componível
• Seguro por padrão — CSP estrito, sem unsafe-*, HTTPS-first
• Independente de framework — funciona com qualquer aplicação PHP 8.4+
• Imutável e type-safe — classes readonly, enums, API with*()
• Qualidade garantida — PHPStan Nível 8, Psalm Nível 1, 100% de Mutation Score, aplicação de arquitetura Deptrac
• Compatível com PSR — PSR-3 (Logging), PSR-15 (Middleware), PSR-18 (HTTP Client)

Módulos

Requisitos

• PHP ^8.4
• ext-dom
• ext-libxml
• ext-sodium

Instalação

composer require zappzarapp/security

Início Rápido

Cabeçalhos de Segurança

use Zappzarapp\Security\Headers\Builder\SecurityHeadersBuilder;

$headers = SecurityHeadersBuilder::recommended()->build();
foreach ($headers as $name => $value) {
    header("{$name}: {$value}");
}

CSP com Nonces

use Zappzarapp\Security\Csp\HeaderBuilder;
use Zappzarapp\Security\Csp\Directive\CspDirectives;
use Zappzarapp\Security\Csp\Nonce\NonceGenerator;

$generator = new NonceGenerator();
$csp = HeaderBuilder::build(CspDirectives::strict(), $generator);
header("Content-Security-Policy: {$csp}");

$nonce = $generator->get();
echo "<script nonce=\"{$nonce}\">console.log('Safe!');</script>";

Proteção CSRF

use Zappzarapp\Security\Csrf\CsrfProtection;
use Zappzarapp\Security\Csrf\Storage\SessionCsrfStorage;

$csrf = new CsrfProtection(new SessionCsrfStorage());

// Gerar token para o formulário
$token = $csrf->generateToken();
echo '<input type="hidden" name="_token" value="' . $token->value() . '">';

// Validar no envio
if (!$csrf->validateToken($_POST['_token'])) {
    throw new Exception('Falha na validação CSRF');
}

Sanitização de Entrada

use Zappzarapp\Security\Sanitization\Html\HtmlSanitizer;
use Zappzarapp\Security\Sanitization\Path\PathValidationConfig;
use Zappzarapp\Security\Sanitization\Path\PathValidator;

// Sanitizar HTML (remove tags/atributos perigosos)
$sanitizer = new HtmlSanitizer();
$safe = $sanitizer->sanitize($userInput);

// Validar caminhos de arquivo (prevenir directory traversal)
$validator = new PathValidator(new PathValidationConfig(basePath: '/var/www/uploads'));
if (!$validator->isSafe($userPath)) {
    throw new Exception('Caminho inválido');
}

Consulte a documentação para exemplos detalhados de todos os módulos.

Documentação

Cada módulo possui documentação de API detalhada com referências de classes, opções de configuração e exemplos de código:

Versionamento

Esta biblioteca segue Semantic Versioning 2.0.0.

Todas as classes, interfaces e métodos no namespace Zappzarapp\Security são considerados API pública, a menos que marcados com @internal. Mudanças que quebram compatibilidade só acontecem em versões principais, com avisos de depreciação pelo menos uma versão menor antes da remoção.

Os lançamentos são automatizados via release-please e assinados com GPG. Consulte CHANGELOG.md para o histórico de lançamentos.

Segurança

Consulte SECURITY.md para relato de vulnerabilidades e considerações de segurança.

Contribuição

Consulte CONTRIBUTING.md para configuração de desenvolvimento e diretrizes de contribuição.

Licença

Licença MIT - consulte o arquivo LICENSE para detalhes.