Seminar Mezzio – Authentifizierung, Autorisierung, Sessions und CSRF

Sicherheit in einer Middleware-Anwendung hängt nicht nur von einem Login-Formular ab. Entscheidend sind die Reihenfolge der Pipeline, eine klare Identität, zentralisierte Berechtigungsentscheidungen, sichere Sitzungsgrenzen und reproduzierbare Fehlerantworten.

Seminarüberblick

Die Teilnehmenden implementieren eine geschützte Mezzio-Anwendung mit öffentlichen und privaten Routen. Unterschiedliche Authentifizierungsarten werden eingeordnet, Autorisierungsregeln zentral modelliert und Session- sowie CSRF-Schutz in die Pipeline integriert. Fehlkonfigurationen und Umgehungsmöglichkeiten werden systematisch getestet.

Zielgruppe

PHP-Entwickler, Softwarearchitekten und Security-Verantwortliche, die Webanwendungen oder APIs mit Mezzio absichern.

Voraussetzungen

Gute PHP- und Mezzio-Grundkenntnisse, sicherer Umgang mit Middleware, Routing und Dependency Injection sowie Grundwissen zu HTTP-Cookies und Statuscodes.

Seminarinhalte

Identität und Authentifizierungsarchitektur

• IdentityInterface, AuthenticationInterface und AuthenticationMiddleware einordnen
• Öffentliche, optionale und zwingend geschützte Routen unterscheiden
• Fehlerantworten, Redirects und API-kompatible Authentifizierungsfehler gestalten

Authentifizierungsadapter

• Session-basierte Anmeldung mit sicherem Login- und Logout-Flow umsetzen
• HTTP Basic und OAuth2 für geeignete Einsatzfälle einordnen
• Bestehende Laminas-Authentication-Adapter kontrolliert integrieren

Autorisierung mit ACL und RBAC

• Ressourcen, Rollen und Berechtigungen modellieren
• Route- und Request-Attribute für zentrale Entscheidungen verwenden
• Standardverweigerung, Mehrmandantenfähigkeit und fachliche Sonderregeln abbilden

Sessions, Flash Messages und CSRF

• SessionMiddleware und geeignete Persistenzadapter konfigurieren
• Cookie-Attribute, Rotation, Ablauf und Invalidierung sicher behandeln
• CSRF-Token und Flash Messages in Formularabläufe integrieren

Pipeline-Härtung und Tests

• Reihenfolge von Routing, Session, Authentication und Authorization korrekt festlegen
• Fehlende Identitäten, abgelaufene Sessions und Rechteeskalation testen
• Sicherheitsrelevante Ereignisse protokollieren, ohne Geheimnisse offenzulegen

Praxis im Seminar

Eine Beispielanwendung erhält Login, geschützte Routen, rollenbasierte Rechte, sichere Sessions und CSRF-geschützte Formulare. Positive und negative Sicherheitsszenarien werden automatisiert geprüft.