Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html). Lixeira - Tudo o que é importante passa a soft delete (deleted_at + deleted_by): equipa, modalidades, eventos, mensalidades, galerias, imagens, horário, horas de funcionamento, inscrições em eventos e pedidos de inscrição. - config/functions_trash.php: um registo por tipo; apagar, restaurar, listar e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira — a condição está no WHERE do DELETE, um POST forjado não apaga nada. - Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e quando, restauro a qualquer momento. - Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para .trash/ (negado pelo .htaccess) e volta no restauro. - As listagens e o site público filtram deleted_at (horário também filtra modalidades apagadas). Migração: database/migration_20260925_trash.sql (só acrescenta colunas; tem de ser aplicada antes deste código). CSRF - csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía sem verificar nada em GET, e dez ações de apagar/restaurar eram GET. - Os dez handlers passaram a POST com token; links viraram formulários. Autenticação e sessão - client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global). - Throttle também por conta (hash do email), além do IP. - Sem oráculo de tempo: login verifica contra um hash de referência quando a conta não existe; a recuperação deixa o email na fila. - Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode. - Definições de sistema só para sysadmin; autocomplete=username. Servidor e uploads - .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy, CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais _*.php, PHP soltos do platform-tools e *.md; 404 própria. - Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts, handlers on*=, foreignObject ou hrefs externos. Testado numa cópia da BD de produção (fitme_audit_test) com um contentor temporário: 34/34 verificações HTTP ponta-a-ponta. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
130 lines
6.1 KiB
PHP
130 lines
6.1 KiB
PHP
<?php
|
|
require __DIR__ . '/../../../config/db.php';
|
|
require __DIR__ . '/../../../config/functions.php';
|
|
$user = require_admin();
|
|
|
|
$id = (int) ($_GET['id'] ?? 0);
|
|
if (!$id) { header('Location: index.php'); exit; }
|
|
|
|
$gallery = db_gallery_get($pdo, $id);
|
|
if (!$gallery) { header('Location: index.php'); exit; }
|
|
|
|
$errors = [];
|
|
$name = $gallery['name'];
|
|
$images = db_gallery_images($pdo, $id);
|
|
|
|
// Rename gallery
|
|
if (isset($_POST['rename'])) {
|
|
csrf_check();
|
|
$name = trim($_POST['name'] ?? '');
|
|
if ($name === '') $errors[] = 'O nome é obrigatório.';
|
|
elseif (db_gallery_update($pdo, $id, $name)) {
|
|
session()->setFlashdata('success', 'Galeria renomeada.');
|
|
header('Location: ' . base_url('views/admin/galerias/edit.php?id=' . $id));
|
|
exit;
|
|
}
|
|
}
|
|
|
|
// Upload image
|
|
if (isset($_FILES['image']) && $_FILES['image']['error'] !== UPLOAD_ERR_NO_FILE) {
|
|
csrf_check();
|
|
$result = db_gallery_image_upload($pdo, $id, $_FILES['image']);
|
|
if ($result) session()->setFlashdata('success', 'Imagem carregada.');
|
|
else session()->setFlashdata('error', 'Falha no upload. Verifique o formato.');
|
|
header('Location: ' . base_url('views/admin/galerias/edit.php?id=' . $id));
|
|
exit;
|
|
}
|
|
|
|
// Optimize existing images (resize/compress to the gallery cap)
|
|
if (isset($_POST['optimize'])) {
|
|
csrf_check();
|
|
$stats = img_optimize_dir(__DIR__ . '/../../../uploads/gallery/' . $id . '/', IMG_MAX_GALLERY);
|
|
session()->setFlashdata($stats['failed'] ? 'warning' : 'success', img_stats_message($stats));
|
|
header('Location: ' . base_url('views/admin/galerias/edit.php?id=' . $id));
|
|
exit;
|
|
}
|
|
|
|
// Delete image
|
|
// POST + CSRF: um link GET podia ser disparado a partir de outro site.
|
|
if (isset($_POST['del_img']) && is_numeric($_POST['del_img'])) {
|
|
csrf_check();
|
|
db_gallery_image_delete($pdo, (int) $_POST['del_img'], $id);
|
|
session()->setFlashdata('success', 'Imagem removida — fica na lixeira 30 dias.');
|
|
header('Location: ' . base_url('views/admin/galerias/edit.php?id=' . $id));
|
|
exit;
|
|
}
|
|
|
|
$page_title = 'Gerir Galeria';
|
|
include __DIR__ . '/../../../includes/header.php';
|
|
?>
|
|
<div class="container" style="max-width:900px;">
|
|
<div class="d-flex justify-content-between align-items-center mb-4">
|
|
<h1 class="h3 mb-0"><?= htmlspecialchars($gallery['name']) ?></h1>
|
|
<a class="btn btn-outline-secondary btn-sm" href="index.php"><i class="bi bi-arrow-left me-1"></i>Voltar</a>
|
|
</div>
|
|
<?php foreach ($errors as $e): ?><div class="alert alert-danger"><?= htmlspecialchars($e) ?></div><?php endforeach; ?>
|
|
|
|
<div class="row g-4">
|
|
<div class="col-md-4">
|
|
<div class="card shadow-sm"><div class="card-body">
|
|
<h2 class="h6 mb-3">Renomear</h2>
|
|
<form method="POST">
|
|
<?= csrf_field() ?>
|
|
<div class="mb-3">
|
|
<input class="form-control" name="name" value="<?= htmlspecialchars($name) ?>">
|
|
</div>
|
|
<button type="submit" name="rename" class="btn btn-primary btn-sm">Renomear</button>
|
|
</form>
|
|
</div></div>
|
|
|
|
<div class="card shadow-sm mt-3"><div class="card-body">
|
|
<h2 class="h6 mb-3">Adicionar imagem</h2>
|
|
<form method="POST" enctype="multipart/form-data">
|
|
<?= csrf_field() ?>
|
|
<div class="mb-3">
|
|
<input type="file" class="form-control" name="image" accept=".jpg,.jpeg,.png,.gif,.webp">
|
|
<div class="form-text">JPG, PNG, GIF ou WebP.</div>
|
|
</div>
|
|
<button type="submit" class="btn btn-primary btn-sm"><i class="bi bi-cloud-arrow-up me-1"></i>Carregar</button>
|
|
</form>
|
|
</div></div>
|
|
</div>
|
|
|
|
<div class="col-md-8">
|
|
<div class="card shadow-sm"><div class="card-body">
|
|
<div class="d-flex justify-content-between align-items-center mb-3">
|
|
<h2 class="h6 mb-0">Imagens (<?= count($images) ?>)</h2>
|
|
<?php if ($images): ?>
|
|
<form method="POST" class="mb-0">
|
|
<?= csrf_field() ?>
|
|
<button type="submit" name="optimize" value="1" class="btn btn-sm btn-outline-success"
|
|
title="Redimensiona e comprime as imagens desta galeria para o máximo de <?= IMG_MAX_GALLERY ?>px"
|
|
onclick="return confirm('Otimizar todas as imagens desta galeria (máx. <?= IMG_MAX_GALLERY ?>px)? Os ficheiros originais serão substituídos.')">
|
|
<i class="bi bi-arrows-angle-contract me-1"></i>Otimizar imagens
|
|
</button>
|
|
</form>
|
|
<?php endif; ?>
|
|
</div>
|
|
<?php if (!$images): ?>
|
|
<p class="text-muted">Nenhuma imagem nesta galeria.</p>
|
|
<?php else: ?>
|
|
<div class="row g-2">
|
|
<?php foreach ($images as $img): ?>
|
|
<div class="col-6 col-lg-4 position-relative">
|
|
<img src="<?= base_url('uploads/gallery/' . $id . '/' . $img['i_file_name']) ?>"
|
|
alt="" class="img-thumbnail w-100" style="height:140px;object-fit:cover;" loading="lazy">
|
|
<form method="POST" class="position-absolute top-0 end-0 m-1" onsubmit="return confirm('Remover esta imagem? Fica na lixeira durante 30 dias.')">
|
|
<?= csrf_field() ?>
|
|
<button class="btn btn-sm btn-danger rounded-circle" name="del_img" value="<?= (int) $img['i_id'] ?>" aria-label="Remover imagem"
|
|
style="width:28px;height:28px;display:flex;align-items:center;justify-content:center;font-size:12px">×</button>
|
|
</form>
|
|
</div>
|
|
<?php endforeach; ?>
|
|
</div>
|
|
<?php endif; ?>
|
|
</div></div>
|
|
</div>
|
|
</div>
|
|
</div>
|
|
<?php include __DIR__ . '/../../../includes/footer.php'; ?>
|