src/EventListener/RequestListener.php line 22

Open in your IDE?
  1. <?php
  3. namespace App\EventListener;
  5. use Symfony\Component\HttpKernel\Event\ResponseEvent;
  7. class RequestListener
  8. {
  9.     private array $contentSecurityPolicy = [
  10.         'object-src' => '',
  11.         'script-src' => '',
  12.         'form-action' => '',
  13.         'frame-ancestors' => '',
  14.         'connect-src' => '',
  15.         'font-src' => '',
  16.         'frame-src' => '',
  17.         'img-src' => '',
  18.         'media-src' => '',
  19.         'style-src' => '',
  20.     ];
  22.     public function onKernelResponse(ResponseEvent $event): void
  23.     {
  24.         if (!$event->isMainRequest()) {
  25.             return;
  26.         }
  28.         if ('test' !== $_ENV['APP_ENV']) {
  29.             $domains = str_replace(';', ' ', $_ENV['DOMAINS']);
  31.             foreach ($this->contentSecurityPolicy as $key => $value) {
  32.                 $nameInEnv = strtoupper(str_replace('-', '_', $key));
  33.                 $this->contentSecurityPolicy[$key] = "{$_ENV[$nameInEnv]} {$_ENV['RQST_CTXT_HOST']} {$domains}";
  34.             }
  36.             $event->getResponse()->headers->add([
  37.                 'X-XSS-Protection' => '1; mode=block',
  38.                 'X-Frame-Options' => 'DENY',
  39.                 'X-Content-Type-Options' => 'nosniff',
  40.                 'Content-Security-Policy' => implode('; ', $this->contentSecurityPolicy),
  41.                 'Strict-Transport-Security' => 'max-age=63072000; includeSubDomains; preload;',
  42.                 'Permissions-Policy' => 'camera=()',
  43.                 'Referrer-Policy' => 'no-referrer-when-downgrade',
  44.             ]);
  45.         } else {
  46.             $event->getResponse()->headers->add([
  47.                 'X-XSS-Protection' => '1; mode=block',
  48.                 'X-Frame-Options' => 'DENY',
  49.                 'X-Content-Type-Options' => 'nosniff',
  50.                 'Content-Security-Policy' => "object-src 'none'; script-src 'self' 'unsafe-inline' js-agent.newrelic.com code.jquery.com www.nutella.com  static.addtoany.com www.google.com www.gstatic.com ; form-action 'self'; frame-ancestors 'self';",
  51.                 'Strict-Transport-Security' => 'max-age=63072000; includeSubDomains; preload;',
  52.             ]);
  53.         }
  54.     }
  55. }