src/EventSubscriber/MFACheckSubscriber.php line 44

Open in your IDE?
  1. <?php
  3. namespace App\EventSubscriber;
  5. use App\Entity\UserInterface;
  6. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  7. use Symfony\Component\HttpFoundation\JsonResponse;
  8. use Symfony\Component\HttpFoundation\RequestStack;
  9. use Symfony\Component\HttpKernel\Event\RequestEvent;
  10. use Symfony\Component\HttpKernel\KernelEvents;
  11. use Symfony\Component\Security\Core\Security;
  13. class MFACheckSubscriber implements EventSubscriberInterface
  14. {
  15.     /** @var Security */
  16.     private $security;
  18.     /** @var RequestStack */
  19.     private $requestStack;
  21.     /**
  22.      * @param Security     $security
  23.      * @param RequestStack $requestStack
  24.      */
  25.     public function __construct(Security $security, RequestStack $requestStack)
  26.     {
  27.         $this->security = $security;
  28.         $this->requestStack = $requestStack;
  29.     }
  31.     /**
  32.      * {@inheritdoc}
  33.      */
  34.     public static function getSubscribedEvents()
  35.     {
  36.         return [
  37.             KernelEvents::REQUEST => 'onKernelRequest',
  38.         ];
  39.     }
  41.     /**
  42.      * @param RequestEvent $event
  43.      */
  44.     public function onKernelRequest(RequestEvent $event)
  45.     {
  46.         /** @var UserInterface|null $user */
  47.         if (!$user = $this->security->getUser()) {
  48.             return;
  49.         }
  51.         $request = $event->getRequest();
  52.         $currentPath = $request->getPathInfo();
  54.         $excludedPatterns = [
  55.             '/api/me',
  56.             '/api/mfa',
  57.             '/api/users', // Admin access only
  58.         ];
  60.         foreach ($excludedPatterns as $pattern) {
  61.             if (0 === strpos($currentPath, $pattern)) {
  62.                 return;
  63.             }
  64.         }
  66.         $cookies = $request->cookies;
  67.         $mfaVerified = 'true' === $cookies->get('streamer:isMFAVerified', 'false');
  69.         if ($user->isMFAEnabled() && !$mfaVerified) {
  70.             // MFA is required but not verified, return a 403 Forbidden response
  71.             $response = new JsonResponse(['message' => 'MFA verification required.'], JsonResponse::HTTP_FORBIDDEN);
  72.             $event->setResponse($response);
  73.             $event->stopPropagation();
  74.         }
  75.     }
  76. }