Belajar Symfony - Security Headers & OWASP Best Practices

#Pendahuluan

Setelah testing di episode 17, episode 18 masuk ke pertahanan aktif: keamanan aplikasi. Framework menyelesaikan banyak masalah, tapi kalian tetap harus memahami di mana celah bisa muncul — dan bagaimana menutupnya sesuai praktik terbaik OWASP.

Mengapa ini penting meskipun Symfony sudah aman secara default? Karena keamanan adalah tanggung jawab berlapis: framework mengamankan dasar (escaping, CSRF, prepared statement), tetapi header HTTP, kebijakan content, dan validasi upload adalah keputusan yang tetap di tangan kalian. Serangan yang berhasil di aplikasi Symfony biasanya bukan karena framework-nya, melainkan karena konfigurasi yang longgar.

#Security Headers

Header HTTP adalah "polisi di pintu gerbang" browser. Set header standar di semua response lewat listener:

use Symfony\Component\EventDispatcher\Attribute\AsEventListener;
use Symfony\Component\HttpKernel\Event\ResponseEvent;
 
#[AsEventListener(event: ResponseEvent::class)]
final class SecurityHeadersListener
{
    public function __invoke(ResponseEvent $event): void
    {
        $response = $event->getResponse();
 
        $response->headers->set('Content-Security-Policy', "default-src 'self'");
        $response->headers->set('X-Frame-Options', 'DENY');
        $response->headers->set('X-Content-Type-Options', 'nosniff');
        $response->headers->set('Referrer-Policy', 'no-referrer');
        $response->headers->set('Strict-Transport-Security', 'max-age=31536000; includeSubDomains');
    }
}

#CSRF: Menolak Serangan dari Situs Lain

CSRF (Cross-Site Request Forgery): pengguna yang sedang login dibuat mengirim request oleh situs jahat. Form Symfony sudah menangani ini — token CSRF ter-render otomatis di form_start (episode 7). Yang perlu diperhatikan:

1. Jangan matikan csrf_protection di FormType tanpa alasan kuat.
2. Untuk route POST yang tidak memakai form (misal API aksi), tambahkan token manual:

use Symfony\Component\Security\Csrf\CsrfTokenManagerInterface;
 
public function toggle(
    Request $request,
    CsrfTokenManagerInterface $csrf,
): Response
{
    $token = $request->request->get('_token');
    if (!$csrf->isTokenValid(new CsrfToken('toggle', (string) $token))) {
        throw $this->createAccessDeniedException('Token CSRF tidak valid.');
    }
 
    // ...
}

Di API stateless (episode 13/19), CSRF diganti mekanisme token — karena tidak ada session, konsep CSRF tidak berlaku sama.

#XSS: Auto-Escaping Twig

XSS (Cross-Site Scripting): input user dieksekusi sebagai HTML/script di browser orang lain. Pertahanan utamanya sudah ada: Twig auto-escape semua output secara default. Aturan yang harus dipegang:

• {{ user.name }} → otomatis di-escape. Aman.
• {{ user.bio|raw }} → mati auto-escape. Berbahaya jika bio dari user.
• {{ form_widget(form) }} → aman, form Symfony meng-escape otomatis.

{# BERBAHAYA: bio dari user dirender mentah #}
{{ user.bio|raw }}
 
{# AMAN: escape otomatis #}
{{ user.bio }}

Jika memang harus menampilkan HTML dari user (rich text), sanitasi dulu dengan library seperti html-sanitizer (Symfony HTML Sanitizer) — bukan |raw.

#SQLi: Prepared Statement Doctrine

SQL Injection: input user dicampur ke query SQL. Doctrine selalu memakai prepared statement — selama kalian tidak menggabungkan string:

// AMAN — parameter terikat (prepared statement)
return $this->createQueryBuilder('a')
    ->where('a.title LIKE :term')
    ->setParameter('term', "%{$term}%")
    ->getQuery()
    ->getResult();
 
// BERBAHAYA — jangan pernah lakukan ini
// "SELECT * FROM article WHERE title LIKE '%{$_GET['q']}%'"

Aturan mutlak: jangan pernah menulis query dengan interpolasi input user, apa pun alasannya. setParameter() adalah satu-satunya jalan.

#File Upload Security

Upload adalah salah satu vektor serangan paling sering. Prinsip keamanannya:

1. Validasi tipe — cek MIME & ekstensi (bukan hanya ekstensi).
2. Ukuran dibatasi — via upload_max_filesize dan constraint.
3. Nama file acak — jangan pernah memakai nama asli user.
4. Simpan di luar document root (atau di bucket dengan kebijakan ketat).
5. Serve dengan header yang benar — Content-Disposition dan X-Content-Type-Options.

Contoh dengan constraint upload:

use Symfony\Component\HttpFoundation\File\UploadedFile;
use Symfony\Component\Validator\Constraints as Assert;
 
#[Assert\File(
    maxSize: '2M',
    extensions: ['pdf', 'png', 'jpg'],
    mimeTypes: ['application/pdf', 'image/png', 'image/jpeg'],
)]
private ?UploadedFile $document = null;

Rename sebelum simpan:

$safeName = bin2hex(random_bytes(16)) . '.' . $file->guessExtension();
$file->move($uploadDir, $safeName);

bin2hex(random_bytes(16)) menghasilkan nama yang tidak bisa ditebak — mencegah path traversal & overwrite. Untuk SVG: hati-hati, SVG bisa membawa script — sanitasi atau blokir.

#OWASP Top 10 → Peta ke Symfony

Cek dependensi yang rentan secara rutin:

composer audit
composer audit --format=json

Jalankan di CI (episode 23) agar setiap merge ter-scan otomatis.

#Penutup

Pada episode 18 ini, kalian telah mengeraskan aplikasi sesuai OWASP.

Inti yang harus dibawa pulang:

• Security headers via listener: CSP, HSTS, X-Frame-Options, dan lainnya.
• CSRF: biarkan proteksi form aktif; token manual untuk route non-form.
• XSS: Twig auto-escape; sanitasi (bukan |raw) untuk rich text.
• SQLi: prepared statement Doctrine; jangan pernah interpolasi input.
• Upload: validasi MIME, batas ukuran, nama acak, simpan di luar docroot.
• composer audit rutin untuk dependensi rentan.

Di episode 19 selanjutnya kita masuk ke Auth Lanjutan: API Tokens & OAuth2 — JWT access/refresh, integrasi OAuth2 dengan league/oauth2-server, API-Key auth, dan alur auth untuk SPA dengan PKCE. Sampai jumpa di episode 19!