andreandClaude Opus 5.5
895b3d58d7
Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html). Lixeira - Tudo o que é importante passa a soft delete (deleted_at + deleted_by): equipa, modalidades, eventos, mensalidades, galerias, imagens, horário, horas de funcionamento, inscrições em eventos e pedidos de inscrição. - config/functions_trash.php: um registo por tipo; apagar, restaurar, listar e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira — a condição está no WHERE do DELETE, um POST forjado não apaga nada. - Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e quando, restauro a qualquer momento. - Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para .trash/ (negado pelo .htaccess) e volta no restauro. - As listagens e o site público filtram deleted_at (horário também filtra modalidades apagadas). Migração: database/migration_20260925_trash.sql (só acrescenta colunas; tem de ser aplicada antes deste código). CSRF - csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía sem verificar nada em GET, e dez ações de apagar/restaurar eram GET. - Os dez handlers passaram a POST com token; links viraram formulários. Autenticação e sessão - client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global). - Throttle também por conta (hash do email), além do IP. - Sem oráculo de tempo: login verifica contra um hash de referência quando a conta não existe; a recuperação deixa o email na fila. - Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode. - Definições de sistema só para sysadmin; autocomplete=username. Servidor e uploads - .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy, CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais _*.php, PHP soltos do platform-tools e *.md; 404 própria. - Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts, handlers on*=, foreignObject ou hrefs externos. Testado numa cópia da BD de produção (fitme_audit_test) com um contentor temporário: 34/34 verificações HTTP ponta-a-ponta. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
87 lines
3.1 KiB
PHP
87 lines
3.1 KiB
PHP
<?php
|
|
// ─── Class schedule (Horário de Aulas) CRUD helpers ────────────────────────────
|
|
// Joins horario → modalidades for display.
|
|
|
|
function db_horario_list(PDO $pdo): array {
|
|
return $pdo->query("
|
|
SELECT h.*,
|
|
m.nome AS modalidade_nome, m.cor AS modalidade_cor, m.icon AS modalidade_icon,
|
|
TIME_FORMAT(h.hora_inicio, '%H:%i') AS hora_inicio_fmt,
|
|
TIME_FORMAT(h.hora_fim, '%H:%i') AS hora_fim_fmt
|
|
FROM horario h
|
|
JOIN modalidades m ON m.m_id = h.id_modalidade
|
|
WHERE h.deleted_at IS NULL
|
|
ORDER BY FIELD(h.dia_semana,'segunda','terça','quarta','quinta','sexta','sábado','domingo'),
|
|
h.hora_inicio ASC
|
|
")->fetchAll(PDO::FETCH_ASSOC);
|
|
}
|
|
|
|
function db_horario_get(PDO $pdo, int $id): ?array {
|
|
$stmt = $pdo->prepare("
|
|
SELECT h.*,
|
|
TIME_FORMAT(h.hora_inicio, '%H:%i') AS hora_inicio_fmt,
|
|
TIME_FORMAT(h.hora_fim, '%H:%i') AS hora_fim_fmt,
|
|
m.nome AS modalidade_nome
|
|
FROM horario h
|
|
JOIN modalidades m ON m.m_id = h.id_modalidade
|
|
WHERE h.id = ? AND h.deleted_at IS NULL LIMIT 1
|
|
");
|
|
$stmt->execute([$id]);
|
|
return $stmt->fetch(PDO::FETCH_ASSOC) ?: null;
|
|
}
|
|
|
|
function db_horario_create(PDO $pdo, array $data): int {
|
|
$stmt = $pdo->prepare("
|
|
INSERT INTO horario (id_modalidade, dia_semana, hora_inicio, hora_fim, local)
|
|
VALUES (?, ?, ?, ?, ?)
|
|
");
|
|
$stmt->execute([
|
|
(int) $data['id_modalidade'],
|
|
$data['dia_semana'],
|
|
$data['hora_inicio'],
|
|
$data['hora_fim'],
|
|
$data['local'] ?? '',
|
|
]);
|
|
return (int) $pdo->lastInsertId();
|
|
}
|
|
|
|
function db_horario_update(PDO $pdo, int $id, array $data): bool {
|
|
$stmt = $pdo->prepare("
|
|
UPDATE horario
|
|
SET id_modalidade = ?, dia_semana = ?, hora_inicio = ?, hora_fim = ?, local = ?
|
|
WHERE id = ?
|
|
");
|
|
$stmt->execute([
|
|
(int) $data['id_modalidade'],
|
|
$data['dia_semana'],
|
|
$data['hora_inicio'],
|
|
$data['hora_fim'],
|
|
$data['local'] ?? '',
|
|
$id,
|
|
]);
|
|
return $stmt->rowCount() > 0;
|
|
}
|
|
|
|
// Soft delete para a lixeira (config/functions_trash.php).
|
|
function db_horario_delete(PDO $pdo, int $id): bool {
|
|
return trash_delete($pdo, 'horario', $id);
|
|
}
|
|
|
|
// Reschedule only: day + start/end time (used by the calendar drag-and-drop).
|
|
// Modalidade and local are left untouched. Times must be HH:MM[:SS]; the caller
|
|
// is responsible for validating the day against the allowed set.
|
|
function db_horario_move(PDO $pdo, int $id, string $dia_semana, string $hora_inicio, string $hora_fim): bool {
|
|
$stmt = $pdo->prepare("
|
|
UPDATE horario SET dia_semana = ?, hora_inicio = ?, hora_fim = ? WHERE id = ?
|
|
");
|
|
$stmt->execute([$dia_semana, $hora_inicio, $hora_fim, $id]);
|
|
return $stmt->rowCount() >= 0;
|
|
}
|
|
|
|
// Modalidades dropdown (id => nome + cor) for horario create/edit forms.
|
|
function db_modalidades_options(PDO $pdo): array {
|
|
return $pdo->query("
|
|
SELECT m_id, nome, cor FROM modalidades WHERE deleted_at IS NULL ORDER BY nome
|
|
")->fetchAll(PDO::FETCH_ASSOC);
|
|
}
|