⚡ zappzarapp/security

Комплексная PHP-библиотека безопасности, предоставляющая CSP, заголовки безопасности, защиту от CSRF, безопасные cookie, проверку паролей, санитизацию ввода, ограничение скорости, SRI, загрузку секретов, шифрование, безопасность сессий, двухфакторную аутентификацию TOTP, подписанные URL и журналирование событий безопасности.

Ключевые особенности

• Всё в одном — 17 модулей безопасности в одном компонуемом пакете
• Безопасно по умолчанию — строгий CSP, без unsafe-*, приоритет HTTPS
• Не зависит от фреймворка — работает с любым PHP-приложением 8.4+
• Неизменяемый и типобезопасный — readonly-классы, перечисления, API with*()
• Подтверждённое качество — PHPStan Level 8, Psalm Level 1, 100% Mutation Score, контроль архитектуры Deptrac
• PSR-совместимость — PSR-3 (логирование), PSR-15 (middleware), PSR-18 (HTTP-клиент)

Модули

Требования

• PHP ^8.4
• ext-dom
• ext-libxml
• ext-sodium

Установка

composer require zappzarapp/security

Быстрый старт

Заголовки безопасности

use Zappzarapp\Security\Headers\Builder\SecurityHeadersBuilder;

$headers = SecurityHeadersBuilder::recommended()->build();
foreach ($headers as $name => $value) {
    header("{$name}: {$value}");
}

CSP с nonce

use Zappzarapp\Security\Csp\HeaderBuilder;
use Zappzarapp\Security\Csp\Directive\CspDirectives;
use Zappzarapp\Security\Csp\Nonce\NonceGenerator;

$generator = new NonceGenerator();
$csp = HeaderBuilder::build(CspDirectives::strict(), $generator);
header("Content-Security-Policy: {$csp}");

$nonce = $generator->get();
echo "<script nonce=\"{$nonce}\">console.log('Safe!');</script>";

Защита от CSRF

use Zappzarapp\Security\Csrf\CsrfProtection;
use Zappzarapp\Security\Csrf\Storage\SessionCsrfStorage;

$csrf = new CsrfProtection(new SessionCsrfStorage());

// Генерация токена для формы
$token = $csrf->generateToken();
echo '<input type="hidden" name="_token" value="' . $token->value() . '">';

// Проверка при отправке
if (!$csrf->validateToken($_POST['_token'])) {
    throw new Exception('CSRF validation failed');
}

Санитизация ввода

use Zappzarapp\Security\Sanitization\Html\HtmlSanitizer;
use Zappzarapp\Security\Sanitization\Path\PathValidationConfig;
use Zappzarapp\Security\Sanitization\Path\PathValidator;

// Санитизация HTML (удаляет опасные теги/атрибуты)
$sanitizer = new HtmlSanitizer();
$safe = $sanitizer->sanitize($userInput);

// Проверка путей к файлам (предотвращает обход каталогов)
$validator = new PathValidator(new PathValidationConfig(basePath: '/var/www/uploads'));
if (!$validator->isSafe($userPath)) {
    throw new Exception('Invalid path');
}

Подробные примеры для всех модулей см. в документации.

Документация

Каждый модуль имеет подробную документацию по API с ссылками на классы, параметрами конфигурации и примерами кода:

Версионирование

Эта библиотека следует Semantic Versioning 2.0.0.

Все классы, интерфейсы и методы в пространстве имён Zappzarapp\Security считаются публичным API, если не помечены @internal. Критические изменения происходят только в мажорных версиях, с предупреждениями об устаревании как минимум за одну минорную версию до удаления.

Релизы автоматизированы через release-please и подписаны GPG. Историю релизов см. в CHANGELOG.md.

Безопасность

Информацию о сообщении об уязвимостях и вопросах безопасности см. в SECURITY.md.

Участие в разработке

Инструкции по настройке среды разработки и рекомендации по участию см. в CONTRIBUTING.md.

Лицензия

Лицензия MIT — подробности см. в файле LICENSE.