src/EventsSubscriber/User/ApiCheckRouteAccessSubscriber.php line 35

Open in your IDE?
  1. <?php
  3. declare(strict_types=1);
  5. namespace App\EventsSubscriber\User;
  7. use App\Entity\User;
  8. use App\Services\Creator\CreatorServiceInterface;
  9. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  10. use Symfony\Component\HttpKernel\Event\RequestEvent;
  11. use Symfony\Component\HttpKernel\Exception\AccessDeniedHttpException;
  12. use Symfony\Component\HttpKernel\KernelEvents;
  13. use Symfony\Component\Security\Core\Authentication\Token\Storage\TokenStorageInterface;
  15. class ApiCheckRouteAccessSubscriber implements EventSubscriberInterface
  16. {
  17.     private const PATTERN_USER_IN_URL = '/\/api\/(v1|v2)\/(creators|sponsors)\/([0-9]+)/';
  18.     private const PATTERN_PROFILE_IN_URL = '/\/api\/(v1|v2)\/(creators|sponsors)\/(profiles|dashboards)\/([0-9]+)/';
  20.     public function __construct(
  21.         protected TokenStorageInterface $tokenStorage,
  22.         private readonly CreatorServiceInterface $creatorService,
  23.     ) {
  24.     }
  26.     public static function getSubscribedEvents(): array
  27.     {
  28.         return [
  29.             KernelEvents::REQUEST => [
  30.                 ['checkAccess'],
  31.             ],
  32.         ];
  33.     }
  35.     public function checkAccess(RequestEvent $requestEvent): void
  36.     {
  37.         if (!$requestEvent->getRequest()->attributes->has('_api_operation_name')) {
  38.             return;
  39.         }
  41.         $routeContext = $this->parseRouteUserFromUri($requestEvent);
  42.         if ($routeContext === null) {
  43.             return;
  44.         }
  46.         ['segment' => $segment, 'userId' => $userId] = $routeContext;
  48.         $authorizedUserId = $this->getAuthorizedUserIdFromRequest($requestEvent);
  49.         if ($authorizedUserId === null) {
  50.             /** @var User|null $user */
  51.             $user = $this->tokenStorage->getToken()?->getUser();
  52.             $authorizedUserId = $this->getAuthorizedUserId($user);
  53.         }
  55.         if ($authorizedUserId === null) {
  56.             throw new AccessDeniedHttpException();
  57.         }
  59.         if ($authorizedUserId === $userId) {
  60.             return;
  61.         }
  63.         if (
  64.             $segment === 'creators'
  65.             && $this->creatorService->isLinkedCreatorProfile($authorizedUserId, $userId)
  66.         ) {
  67.             return;
  68.         }
  70.         throw new AccessDeniedHttpException();
  71.     }
  73.     /**
  74.      * @return array{segment: string, userId: int}|null
  75.      */
  76.     private function parseRouteUserFromUri(RequestEvent $requestEvent): ?array
  77.     {
  78.         $pathOrUri = $requestEvent->getRequest()->getPathInfo() ?: $requestEvent->getRequest()->getUri();
  79.         preg_match(self::PATTERN_USER_IN_URL, $pathOrUri, $matches);
  80.         if (($matches[2] ?? null) !== null && ($matches[3] ?? null) !== null) {
  81.             return ['segment' => $matches[2], 'userId' => (int) $matches[3]];
  82.         }
  84.         preg_match(self::PATTERN_PROFILE_IN_URL, $pathOrUri, $matches);
  85.         if (($matches[2] ?? null) !== null && ($matches[4] ?? null) !== null) {
  86.             return ['segment' => $matches[2], 'userId' => (int) $matches[4]];
  87.         }
  89.         return null;
  90.     }
  92.     private function getAuthorizedUserId(?User $user): ?int
  93.     {
  94.         if ($user === null) {
  95.             return null;
  96.         }
  98.         if (method_exists($user, 'getId')) {
  99.             $id = $user->getId();
  100.             if ($id !== null) {
  101.                 return (int) $id;
  102.             }
  103.         }
  105.         $identifier = $user->getUserIdentifier();
  107.         return is_numeric($identifier) ? (int) $identifier : null;
  108.     }
  110.     private function getAuthorizedUserIdFromRequest(RequestEvent $requestEvent): ?int
  111.     {
  112.         $authorization = (string)$requestEvent->getRequest()->headers->get('Authorization', '');
  113.         if (!str_starts_with($authorization, 'Bearer ')) {
  114.             return null;
  115.         }
  117.         $token = substr($authorization, 7);
  118.         $parts = explode('.', $token);
  119.         if (count($parts) < 2) {
  120.             return null;
  121.         }
  123.         $payload = $this->decodeJwtPayload($parts[1]);
  124.         $id = $payload['id'] ?? null;
  126.         return is_numeric($id) ? (int) $id : null;
  127.     }
  129.     private function decodeJwtPayload(string $payload): ?array
  130.     {
  131.         $base64 = strtr($payload, '-_', '+/');
  132.         $padded = str_pad($base64, strlen($base64) + (4 - strlen($base64) % 4) % 4, '=', STR_PAD_RIGHT);
  133.         $decoded = base64_decode($padded, true);
  134.         if ($decoded === false) {
  135.             return null;
  136.         }
  138.         try {
  139.             $json = json_decode($decoded, true, 512, JSON_THROW_ON_ERROR);
  140.         } catch (\JsonException) {
  141.             return null;
  142.         }
  144.         return is_array($json) ? $json : null;
  145.     }
  146. }