src/Security/SpamGuard.php line 30

Open in your IDE?
  1. <?php namespace App\Security;
  3. use Symfony\Component\Form\FormInterface;
  4. use Symfony\Component\HttpFoundation\Request;
  5. use Symfony\Component\RateLimiter\RateLimiterFactory;
  7. /**
  8.  * Anti-spam checks shared by the public contact/order forms
  9.  * (DefaultController::contactAction/orderAction), both built on ContactType.
  10.  */
  11. class SpamGuard
  12. {
  13.     // A real visitor needs at least this long to read the form and type a
  14.     // message; bots that submit the instant the page loads don't.
  15.     private const MIN_FILL_SECONDS = 3;
  17.     private RateLimiterFactory $limiter;
  19.     public function __construct(RateLimiterFactory $contactFormLimiter)
  20.     {
  21.         $this->limiter = $contactFormLimiter;
  22.     }
  24.     /**
  25.      * Call when the form is rendered (not submitted), so the next
  26.      * submission's fill time can be measured against it.
  27.      */
  28.     public function markRendered(Request $request, string $sessionKey): void
  29.     {
  30.         $request->getSession()->set($sessionKey, time());
  31.     }
  33.     /**
  34.      * True if this submission looks automated: either the honeypot field
  35.      * (invisible to real visitors, see ContactType) got filled in, or it
  36.      * arrived faster than a human could plausibly have typed a message —
  37.      * including never having loaded the form at all, which is how a bot
  38.      * that POSTs directly without a prior GET shows up here.
  39.      */
  40.     public function isSpam(Request $request, FormInterface $form, string $sessionKey): bool
  41.     {
  42.         if ($form->has('website') && $form->get('website')->getData()) {
  43.             return true;
  44.         }
  46.         $renderedAt = $request->getSession()->get($sessionKey);
  48.         return $renderedAt === null || (time() - $renderedAt) < self::MIN_FILL_SECONDS;
  49.     }
  51.     /**
  52.      * Caps how many times one IP can submit within the configured window
  53.      * (see framework.yaml's rate_limiter.contact_form), independently of
  54.      * isSpam() above — catches a slower or JS-capable bot (or a determined
  55.      * human) that passes both of those checks.
  56.      */
  57.     public function isRateLimited(Request $request): bool
  58.     {
  59.         return !$this->limiter->create($request->getClientIp())->consume(1)->isAccepted();
  60.     }
  61. }