andreandClaude Opus 5.5
5e300fc341
Estrutura multi-ginásio: as mesmas secções do site, conteúdo próprio por ginásio, e cada um numa pasta da URL com o código postal da zona. - migration_20260926_gyms: tabela gyms (pasta, nome, localidade, publicado, principal, secções visíveis, título/imagem do header, SEO, galeria, Place ID, página CrossFit) com o FitMe 3070 como ginásio 1 em /3070/; gym_id em team, modalidades (o horário segue a modalidade), work_hours, memberships, membership_leads e website_offer (tudo o existente → ginásio 1); events com gym_id NULL = todos; fitme3070_info passa a uma linha por ginásio (id = gym). - Site: /<pasta>/, /<pasta>/crossfit, /<pasta>/agendar|inscricao. Ginásio por publicar → 404 para o público, pré-visualização (com faixa) para a equipa. / e /home → 301 para o ginásio principal (a manter a query); com mais de um ginásio publicado, a raiz passa a uma página para escolher. Secções desligadas não aparecem nem no menu; menu, canonical, JSON-LD, sitemap, formulários, e-mails e reviews (Place ID e cache) são do ginásio. - Backoffice: Gestão → Ginásios (criar/editar/apagar, secções, e «começar com o conteúdo de» outro ginásio — cópias independentes) e o seletor «A editar» no topo; equipa, modalidades, horários, horário de funcionamento, mensalidades, pedidos, contactos e reviews trabalham sobre o ginásio escolhido, e um registo de outro ginásio não abre. - Modalidades passam para logo a seguir à galeria das instalações. - Galeria sem cantos arredondados (raio da marca). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
83 lines
4.4 KiB
ApacheConf
83 lines
4.4 KiB
ApacheConf
# Disable directory listing
|
|
Options -Indexes
|
|
|
|
# Block direct HTTP access to sensitive files
|
|
<FilesMatch "^\.(env|env\..*|git.*|htaccess|htpasswd)$">
|
|
Require all denied
|
|
</FilesMatch>
|
|
<FilesMatch "^(composer\.(json|lock)|package(-lock)?\.json|yarn\.lock|\.gitignore|\.gitmodules|README\.md|CLAUDE\.md)$">
|
|
Require all denied
|
|
</FilesMatch>
|
|
<FilesMatch "\.sql$">
|
|
Require all denied
|
|
</FilesMatch>
|
|
|
|
# Belt-and-braces: block any dotfile path component (except /.well-known)
|
|
RewriteEngine On
|
|
RewriteRule "(^|/)\.(?!well-known)" - [F,L]
|
|
|
|
# A raiz web é o repositório inteiro, por isso fecha-se o que não é página:
|
|
# - parciais (_form.php e afins) só se incluem, nunca se pedem;
|
|
# - PHP soltos do platform-tools: só api/ e backups/ (auto-chamada com token)
|
|
# são endpoints; o resto é incluído pelas páginas de views/sysadmin/;
|
|
# - documentação (*.md) não é para servir.
|
|
RewriteRule "(^|/)_[^/]*\.php$" - [F,L]
|
|
RewriteRule "^shared/platform-tools/[^/]+\.php$" - [F,L]
|
|
RewriteRule "\.md$" - [F,L]
|
|
|
|
# ── Headers de segurança ─────────────────────────────────────────────────────
|
|
# A CSP não restringe scripts ainda (o site tem scripts inline e incorporações
|
|
# da Google); fecha o que não parte nada: quem pode meter o site num iframe,
|
|
# <base>, plugins e para onde os formulários podem enviar.
|
|
<IfModule mod_headers.c>
|
|
Header always set X-Content-Type-Options "nosniff"
|
|
Header always set Referrer-Policy "strict-origin-when-cross-origin"
|
|
Header always set X-Frame-Options "SAMEORIGIN"
|
|
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=(), usb=()"
|
|
Header always set Content-Security-Policy "frame-ancestors 'self'; base-uri 'self'; object-src 'none'; form-action 'self' https://forms.zohopublic.eu"
|
|
</IfModule>
|
|
|
|
# ── Canonical host: force HTTPS + strip www ───────────────────────────────────
|
|
RewriteCond %{HTTP_HOST} ^www\.(.+)$ [NC]
|
|
RewriteRule ^ https://%1%{REQUEST_URI} [R=301,L]
|
|
RewriteCond %{HTTPS} off
|
|
RewriteCond %{HTTP:X-Forwarded-Proto} !https
|
|
RewriteRule ^ https://%{HTTP_HOST}%{REQUEST_URI} [R=301,L]
|
|
|
|
# ── Let static files and backoffice pass through untouched ─────────────────────
|
|
RewriteRule ^views/ - [L]
|
|
RewriteRule ^uploads/ - [L]
|
|
RewriteRule ^site/assets/ - [L]
|
|
RewriteRule ^assets/ - [L]
|
|
|
|
# ── Friendly URLs ─────────────────────────────────────────────────────────────
|
|
RewriteRule ^home/?$ site/index.php [L]
|
|
RewriteRule ^home/equipa/?$ site/equipa.php [L,QSA]
|
|
RewriteRule ^home/modalidades/?$ site/modalidades.php [L,QSA]
|
|
RewriteRule ^home/horario/?$ site/horario.php [L,QSA]
|
|
RewriteRule ^home/contactos/?$ site/contactos.php [L,QSA]
|
|
RewriteRule ^home/agendar/?$ site/agendar.php [L,QSA]
|
|
RewriteRule ^home/inscricao/?$ site/inscricao.php [L,QSA]
|
|
RewriteRule ^home/crossfit/?$ site/crossfit.php [L,QSA]
|
|
RewriteRule ^home/privacidade/?$ site/privacidade.php [L,QSA]
|
|
RewriteRule ^evento/([a-zA-Z0-9-]+)/?$ site/evento.php?slug=$1 [L,QSA]
|
|
# ── Ginásios: /<pasta>/ (código postal da zona, ex.: /3070/) ─────────────────
|
|
# Uma pasta por ginásio (Gestão → Ginásios); pastas desconhecidas ou por publicar
|
|
# dão 404 no PHP. Reais ficheiros/pastas têm prioridade.
|
|
RewriteCond %{REQUEST_FILENAME} !-f
|
|
RewriteCond %{REQUEST_FILENAME} !-d
|
|
RewriteRule ^([a-z0-9][a-z0-9-]{1,19})/?$ site/index.php?gym=$1 [L,QSA]
|
|
RewriteRule ^([a-z0-9][a-z0-9-]{1,19})/crossfit/?$ site/crossfit.php?gym=$1 [L,QSA]
|
|
RewriteRule ^([a-z0-9][a-z0-9-]{1,19})/(agendar|inscricao)/?$ site/$2.php?gym=$1 [L,QSA]
|
|
RewriteRule ^robots\.txt$ site/seo_files.php?f=robots [L]
|
|
RewriteRule ^sitemap\.xml$ site/seo_files.php?f=sitemap [L]
|
|
|
|
# Pass the Authorization header through to PHP
|
|
RewriteCond %{HTTP:Authorization} .
|
|
RewriteRule .* - [E=HTTP_AUTHORIZATION:%{HTTP:Authorization}]
|
|
|
|
DirectoryIndex index.php
|
|
|
|
# Página 404 própria (a do Apache mostrava a versão do servidor).
|
|
ErrorDocument 404 /site/404.php
|