Autentikasi dan sesi untuk Symfony
high5 titik pemeriksaan
Autentikasi adalah target paling bernilai di situs mana pun: credential stuffing, session fixation, dan CSRF semuanya menuju pintu yang sama.
Yang harus ada di Symfony
- Form login memakai HTTPS dan menyertakan token CSRF
- Rate limiting dan penguncian setelah percobaan gagal
- MFA tersedia untuk akun istimewa
- Kata sandi disaring terhadap korpus kebocoran yang diketahui
- Tidak ada account enumeration lewat pesan error
Cara memperbaiki
- 1Tambahkan pembatasan per akun dan per IP
- 2Wajibkan MFA untuk admin dan saring kata sandi lewat API k-anonymity
Konteks Symfony
PHP framework and component library underpinning Laravel and many enterprise apps.
The profiler (_profiler) must never be public; keep the framework and bundles patched.