bundles/VehicleIngestBundle/Security/SellerApiBasicAuthSubscriber.php line 65

Open in your IDE?
  1. <?php
  3. declare(strict_types=1);
  5. namespace VehicleIngestBundle\Security;
  7. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  8. use Symfony\Component\HttpFoundation\Response;
  9. use Symfony\Component\HttpKernel\Event\RequestEvent;
  10. use Symfony\Component\HttpKernel\KernelEvents;
  12. /**
  13.  * Enforces HTTP Basic auth for every request under one of the automedia push
  14.  * path prefixes. Credentials are ones WE issue to automedia (not automedia's own
  15.  * mobile.de credentials), configured via %seller_api_user%/%seller_api_password%
  16.  * (bound from SELLER_API_USER/SELLER_API_PASSWORD).
  17.  *
  18.  * There are three prefixes, and they all share ONE credential pair - the vendor
  19.  * documentation is explicit about that ("Same Basic-auth credentials as every
  20.  * other push", see its "Transport and auth" section):
  21.  *
  22.  *   /seller-api    the mobile.de Seller API surface (ads, images, leasing)
  23.  *   /campaign-api  campaigns - a vendor extension, hence its own namespace
  24.  *   /leasing-api   the full leasing rate matrix - likewise
  25.  *   /ingest-api    the read side: what we hold for an ad (IngestReportController)
  26.  *
  27.  * Every prefix MUST be listed here. A push namespace missing from this list is
  28.  * not merely unguarded, it is publicly writable: the guard is the only auth
  29.  * layer in front of these endpoints (the dev ingress dropped its nginx basic
  30.  * auth, and the IP allowlist in kubernetes/dev/php-fpm/ingress-seller-api.yaml
  31.  * is deliberately inactive). Adding an endpoint outside these prefixes means
  32.  * adding the prefix here in the same change.
  33.  *
  34.  * /ingest-api fails the same way for the opposite reason: it does not write
  35.  * anything, but it reports a dealer's entire inventory state, so leaving it out
  36.  * would publish that instead of exposing a write surface.
  37.  */
  38. class SellerApiBasicAuthSubscriber implements EventSubscriberInterface
  39. {
  40.     private const PREFIXES = ['/seller-api', '/campaign-api', '/leasing-api', '/ingest-api'];
  42.     public function __construct(
  43.         private string $user,
  44.         private string $password,
  45.     ) {
  46.     }
  48.     public static function getSubscribedEvents(): array
  49.     {
  50.         // Priority 40 puts this ahead of Symfony's RouterListener (32) on purpose.
  51.         //
  52.         // At the firewall's usual priority of 8 the router runs first, so an
  53.         // unauthenticated request to a path inside a guarded prefix that has no
  54.         // matching route answers 404 instead of 401 - the guard never sees it.
  55.         // That made the guard depend on route wiring: a namespace whose routes
  56.         // are added later, or under a typo, would be silently unprotected, and
  57.         // an unauthenticated caller could map which paths exist. Running before
  58.         // the router makes the whole prefix fail closed regardless of routing.
  59.         //
  60.         // Everything this listener touches (path info, Authorization header) is
  61.         // available before routing, so the earlier slot costs us nothing.
  62.         return [KernelEvents::REQUEST => ['onRequest', 40]];
  63.     }
  65.     public function onRequest(RequestEvent $event): void
  66.     {
  67.         if (!$event->isMainRequest()) {
  68.             return;
  69.         }
  71.         if (!$this->isGuarded($event->getRequest()->getPathInfo())) {
  72.             return;
  73.         }
  75.         $req = $event->getRequest();
  76.         $user = (string) $req->getUser();
  77.         $pass = (string) $req->getPassword();
  79.         $ok = $user !== '' && hash_equals($this->user, $user) && hash_equals($this->password, $pass);
  80.         if (!$ok) {
  81.             $event->setResponse(new Response('Unauthorized', 401, [
  82.                 'WWW-Authenticate' => 'Basic realm="automedia-ingest"',
  83.             ]));
  84.         }
  85.     }
  87.     private function isGuarded(string $path): bool
  88.     {
  89.         foreach (self::PREFIXES as $prefix) {
  90.             if (str_starts_with($path, $prefix)) {
  91.                 return true;
  92.             }
  93.         }
  95.         return false;
  96.     }
  97. }