src/EventSubscriber/PublicRouteBearerTokenSubscriber.php line 31

Open in your IDE?
  1. <?php
  3. namespace App\EventSubscriber;
  5. use Symfony\Component\EventDispatcher\EventSubscriberInterface;
  6. use Symfony\Component\HttpFoundation\Request;
  7. use Symfony\Component\HttpKernel\Event\RequestEvent;
  8. use Symfony\Component\HttpKernel\KernelEvents;
  9. use Symfony\Component\Security\Http\AccessMapInterface;
  11. /**
  12.  * Public API routes must stay accessible even when clients send an expired Bearer JWT.
  13.  * The api firewall validates JWT before access_control runs; stripping Bearer on public
  14.  * routes prevents Lexik from rejecting the request. Basic Auth headers are preserved.
  15.  */
  16. final class PublicRouteBearerTokenSubscriber implements EventSubscriberInterface
  17. {
  18.     public function __construct(
  19.         private readonly AccessMapInterface $accessMap,
  20.     ) {
  21.     }
  23.     public static function getSubscribedEvents(): array
  24.     {
  25.         return [
  26.             // Run before Symfony FirewallListener (priority 8).
  27.             KernelEvents::REQUEST => ['onKernelRequest', 9],
  28.         ];
  29.     }
  31.     public function onKernelRequest(RequestEvent $event): void
  32.     {
  33.         if (!$event->isMainRequest()) {
  34.             return;
  35.         }
  37.         $request = $event->getRequest();
  39.         if (!$this->isPublicApiRoute($request)) {
  40.             return;
  41.         }
  43.         $authHeader = $request->headers->get('Authorization');
  44.         if ($authHeader !== null && str_starts_with($authHeader, 'Bearer ')) {
  45.             $request->headers->remove('Authorization');
  46.         }
  47.     }
  49.     private function isPublicApiRoute(Request $request): bool
  50.     {
  51.         if (!str_starts_with($request->getPathInfo(), '/api/')) {
  52.             return false;
  53.         }
  55.         [$attributes] = $this->accessMap->getPatterns($request);
  57.         return \in_array('PUBLIC_ACCESS', $attributes, true);
  58.     }
  59. }