andreandClaude Opus 5.5
0e8b53f620
- shared/platform-tools: ea3616a → 12f26fd (27 commits). Traz o módulo de audit (f761d99, o pin da frota), «manter sessão iniciada», o registo de segurança da frota (o gancho que o login já tinha passa a funcionar) e a correção do IP do cliente encontrada nesta auditoria (último X-Forwarded-For / X-Real-IP), promovida ao partilhado. client_ip() da app delega nele. - config/functions_audit.php: audit() sobre platform_audit(); tabela audit_log criada no primeiro uso, segredos ocultados, nunca parte a ação. - Registado: login, falha de login, bloqueio por excesso de tentativas, logout, pedidos de recuperação, mudança/definição de palavra-passe, registo e criação de utilizadores, convites, perfil (antes/depois), todas as definições (db_update_setting, com valor anterior), cada passo da lixeira (apagar, restaurar, eliminar de vez) e ações nas mensagens. - Sistema → Auditoria (views/sysadmin/audit.php), só sysadmin. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
65 lines
3.2 KiB
PHP
65 lines
3.2 KiB
PHP
<?php
|
|
// ─── Quem é o visitante, atrás do proxy ─────────────────────────────────────
|
|
//
|
|
// Isto vivia só dentro de functions_auth.php, como auth_client_ip(). Servia
|
|
// bem o throttle do login, mas mais nada lhe conseguia chegar: o antispam da
|
|
// fotografia e do mstudio precisava do mesmo cálculo e não podia carregar o
|
|
// módulo de auth, porque esses sites declaram o seu próprio auth_login() e o
|
|
// include rebentava com "Cannot redeclare function".
|
|
//
|
|
// Daí um ficheiro à parte, sem dependências e sem nada a executar no include.
|
|
// Quem quer só o IP inclui este; auth_client_ip() passou a ser um alias para
|
|
// aqui, para não haver duas versões da mesma regra a divergir com o tempo.
|
|
//
|
|
// A regra: toda a quinta está atrás do Nginx Proxy Manager, por isso o
|
|
// REMOTE_ADDR é sempre o contentor do proxy (172.18.0.2) e nunca o visitante.
|
|
// Só se acredita nos cabeçalhos do proxy quando TRUSTED_PROXY=true E o pedido
|
|
// chega mesmo de uma rede privada (o proxy); de fora, são forjáveis.
|
|
//
|
|
// E acredita-se no cabeçalho CERTO. O NPM faz
|
|
// proxy_set_header X-Real-IP $remote_addr;
|
|
// proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
|
|
// ou seja, X-Real-IP é sempre reescrito com o IP que o proxy viu, e o
|
|
// X-Forwarded-For é ACRESCENTADO ao que o cliente mandou. Esta função usava o
|
|
// primeiro valor do X-Forwarded-For — o que o cliente escreve. Com
|
|
// "X-Forwarded-For: 1.2.3.4" cada pedido tinha o IP que o atacante quisesse, e
|
|
// o throttle, o IP ban e o registo de auditoria contavam identidades inventadas
|
|
// (encontrado na auditoria do fitme3070, 25/09/2026). Agora:
|
|
// 1. X-Real-IP, se for um IP válido;
|
|
// 2. senão o ÚLTIMO valor do X-Forwarded-For (o que o proxy acrescentou);
|
|
// 3. senão REMOTE_ADDR.
|
|
|
|
if (!function_exists('platform_client_ip')) {
|
|
/**
|
|
* IP do visitante, ou null se não houver nenhum utilizável (CLI, cron).
|
|
*/
|
|
function platform_client_ip(): ?string
|
|
{
|
|
$trusted = function_exists('env')
|
|
? filter_var(env('TRUSTED_PROXY', 'false'), FILTER_VALIDATE_BOOLEAN)
|
|
: filter_var(getenv('TRUSTED_PROXY') ?: 'false', FILTER_VALIDATE_BOOLEAN);
|
|
|
|
$remote = (string) ($_SERVER['REMOTE_ADDR'] ?? '');
|
|
$remoteOk = $remote !== '' && filter_var($remote, FILTER_VALIDATE_IP);
|
|
// Proxy = endereço privado/reservado (rede Docker, LAN, loopback).
|
|
$fromProxy = $remoteOk
|
|
&& !filter_var($remote, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE);
|
|
|
|
if ($trusted && $fromProxy) {
|
|
$real = trim((string) ($_SERVER['HTTP_X_REAL_IP'] ?? ''));
|
|
if ($real !== '' && filter_var($real, FILTER_VALIDATE_IP)) {
|
|
return $real;
|
|
}
|
|
if (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
|
|
$hops = array_map('trim', explode(',', (string) $_SERVER['HTTP_X_FORWARDED_FOR']));
|
|
$last = end($hops);
|
|
if ($last !== false && filter_var($last, FILTER_VALIDATE_IP)) {
|
|
return $last;
|
|
}
|
|
}
|
|
}
|
|
|
|
return $remoteOk ? $remote : null;
|
|
}
|
|
}
|