src/Common/EventListener/ResponseSecurer.php line 15

Open in your IDE?
  1. <?php
  3. namespace Common\EventListener;
  5. use Symfony\Component\HttpKernel\Event\FilterResponseEvent;
  7. class ResponseSecurer
  8. {
  9.     /**
  10.      * Add some headers to the response to make our application more secure
  11.      * see https://www.owasp.org/index.php/List_of_useful_HTTP_headers
  12.      *
  13.      * @param FilterResponseEvent $event
  14.      */
  15.     public function onKernelResponse(FilterResponseEvent $event): void
  16.     {
  17.         $cacheControl = [
  18.             'max-age=0',
  19.             'must-revalidate',
  20.             'private',
  21.             'no-cache',
  22.         ];
  24.         if (defined('APPLICATION') && APPLICATION === 'Backend') {
  25.             $cacheControl[] = 'no-store';
  26.         }
  28.         $headers = [
  29.             'Cache-Control' => implode(', ', $cacheControl),
  30.             'X-Frame-Options' => 'deny',
  31.             'Expires' =>  '0',
  32.             'Pragma' => 'no-cache',
  33.             'referrer' => 'strict-origin-when-cross-origin',
  34.             'Referrer-Policy' => 'strict-origin-when-cross-origin',
  35.             'X-XSS-Protection' => '1; mode=block',
  36.             'X-Content-Type-Options' => 'nosniff',
  37.         ];
  40.         $responseHeaders = $event->getResponse()->headers;
  41.         foreach ($headers as $header => $value) {
  42.             if (!$responseHeaders->has($header)) {
  43.                 $responseHeaders->set($header, $value);
  44.             }
  45.         }
  47.         // Don't leak server config
  48.         $blockedHeaders = [
  49.             'x-powered-by',
  50.             'Server',
  51.         ];
  52.         foreach ($blockedHeaders as $blockedHeader) {
  53.             if ($responseHeaders->has($blockedHeader)) {
  54.                 $responseHeaders->remove($blockedHeader);
  55.             }
  56.         }
  57.     }
  58. }