andreandClaude Opus 5.5
895b3d58d7
Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html). Lixeira - Tudo o que é importante passa a soft delete (deleted_at + deleted_by): equipa, modalidades, eventos, mensalidades, galerias, imagens, horário, horas de funcionamento, inscrições em eventos e pedidos de inscrição. - config/functions_trash.php: um registo por tipo; apagar, restaurar, listar e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira — a condição está no WHERE do DELETE, um POST forjado não apaga nada. - Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e quando, restauro a qualquer momento. - Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para .trash/ (negado pelo .htaccess) e volta no restauro. - As listagens e o site público filtram deleted_at (horário também filtra modalidades apagadas). Migração: database/migration_20260925_trash.sql (só acrescenta colunas; tem de ser aplicada antes deste código). CSRF - csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía sem verificar nada em GET, e dez ações de apagar/restaurar eram GET. - Os dez handlers passaram a POST com token; links viraram formulários. Autenticação e sessão - client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global). - Throttle também por conta (hash do email), além do IP. - Sem oráculo de tempo: login verifica contra um hash de referência quando a conta não existe; a recuperação deixa o email na fila. - Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode. - Definições de sistema só para sysadmin; autocomplete=username. Servidor e uploads - .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy, CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais _*.php, PHP soltos do platform-tools e *.md; 404 própria. - Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts, handlers on*=, foreignObject ou hrefs externos. Testado numa cópia da BD de produção (fitme_audit_test) com um contentor temporário: 34/34 verificações HTTP ponta-a-ponta. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
66 lines
3.0 KiB
PHP
66 lines
3.0 KiB
PHP
<?php
|
|
// ─── CSRF protection ─────────────────────────────────────────────────────────
|
|
// One token per PHP session, embedded in every POST form. The token is also
|
|
// usable in AJAX via the X-CSRF-Token header.
|
|
//
|
|
// Usage in a view: emit csrf_field() inside any <form method="POST">, e.g.
|
|
// using a short echo tag right after the form opening. csrf_field() returns
|
|
// the full hidden input markup.
|
|
//
|
|
// Usage in a POST handler (before any side-effects): call csrf_check(). On
|
|
// failure it sends 403 and exits — never returns to the caller.
|
|
//
|
|
// SameSite=Lax already blocks the common "image-form" cross-site POST attack,
|
|
// but does NOT protect against same-site XSS or an attacker that controls any
|
|
// sibling subdomain under the .andmore.pt cookie scope. That's what this is
|
|
// for.
|
|
//
|
|
// NOTE: do NOT include the literal short-echo close-tag inside comments in
|
|
// this file. PHP closes the script block at the first such sequence even when
|
|
// it appears inside a // comment, and any whitespace after it gets emitted as
|
|
// HTML output — which then breaks header() with "headers already sent".
|
|
|
|
function csrf_token(): string {
|
|
if (empty($_SESSION['csrf_token']) || !is_string($_SESSION['csrf_token'])) {
|
|
$_SESSION['csrf_token'] = bin2hex(random_bytes(32));
|
|
}
|
|
return $_SESSION['csrf_token'];
|
|
}
|
|
|
|
function csrf_field(): string {
|
|
return '<input type="hidden" name="_csrf" value="' . htmlspecialchars(csrf_token(), ENT_QUOTES) . '">';
|
|
}
|
|
|
|
// Só aceita POST. Antes, um pedido GET saía daqui sem verificar nada — e dez
|
|
// ações de apagar/restaurar eram GET, por isso o csrf_check() delas não
|
|
// protegia coisa nenhuma. Quem chama isto está prestes a alterar dados; um
|
|
// método seguro nunca deve chegar aqui.
|
|
function csrf_check(): void {
|
|
if (($_SERVER['REQUEST_METHOD'] ?? 'GET') !== 'POST') {
|
|
http_response_code(405);
|
|
header('Allow: POST');
|
|
header('Content-Type: text/html; charset=utf-8');
|
|
echo '<!doctype html><meta charset="utf-8"><title>Método não permitido</title>'
|
|
. '<p style="font-family:sans-serif;text-align:center;margin:80px auto;">Esta ação só pode ser feita a partir do formulário.</p>';
|
|
exit;
|
|
}
|
|
|
|
$supplied = $_POST['_csrf']
|
|
?? $_SERVER['HTTP_X_CSRF_TOKEN']
|
|
?? '';
|
|
|
|
$expected = $_SESSION['csrf_token'] ?? '';
|
|
|
|
if (!is_string($supplied) || $expected === '' || !hash_equals($expected, $supplied)) {
|
|
http_response_code(403);
|
|
header('Content-Type: text/html; charset=utf-8');
|
|
echo '<!doctype html><meta charset="utf-8"><title>Sessão expirada</title>'
|
|
. '<div style="font-family:sans-serif;max-width:520px;margin:80px auto;text-align:center;">'
|
|
. '<h2>Sessão expirada</h2>'
|
|
. '<p>Recarregue a página e tente novamente.</p>'
|
|
. '<p><a href="javascript:history.back()">← Voltar</a></p>'
|
|
. '</div>';
|
|
exit;
|
|
}
|
|
}
|