andreandClaude Opus 5.5
895b3d58d7
Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html). Lixeira - Tudo o que é importante passa a soft delete (deleted_at + deleted_by): equipa, modalidades, eventos, mensalidades, galerias, imagens, horário, horas de funcionamento, inscrições em eventos e pedidos de inscrição. - config/functions_trash.php: um registo por tipo; apagar, restaurar, listar e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira — a condição está no WHERE do DELETE, um POST forjado não apaga nada. - Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e quando, restauro a qualquer momento. - Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para .trash/ (negado pelo .htaccess) e volta no restauro. - As listagens e o site público filtram deleted_at (horário também filtra modalidades apagadas). Migração: database/migration_20260925_trash.sql (só acrescenta colunas; tem de ser aplicada antes deste código). CSRF - csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía sem verificar nada em GET, e dez ações de apagar/restaurar eram GET. - Os dez handlers passaram a POST com token; links viraram formulários. Autenticação e sessão - client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global). - Throttle também por conta (hash do email), além do IP. - Sem oráculo de tempo: login verifica contra um hash de referência quando a conta não existe; a recuperação deixa o email na fila. - Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode. - Definições de sistema só para sysadmin; autocomplete=username. Servidor e uploads - .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy, CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais _*.php, PHP soltos do platform-tools e *.md; 404 própria. - Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts, handlers on*=, foreignObject ou hrefs externos. Testado numa cópia da BD de produção (fitme_audit_test) com um contentor temporário: 34/34 verificações HTTP ponta-a-ponta. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
62 lines
3.4 KiB
PHP
62 lines
3.4 KiB
PHP
<?php
|
|
require __DIR__ . '/../../../config/db.php';
|
|
require __DIR__ . '/../../../config/functions.php';
|
|
$user = require_admin();
|
|
|
|
// Handle delete BEFORE any output
|
|
// POST + CSRF: um link GET podia ser disparado a partir de outro site.
|
|
if (isset($_POST['delete']) && is_numeric($_POST['delete'])) {
|
|
csrf_check();
|
|
db_horario_delete($pdo, (int) $_POST['delete']);
|
|
session()->setFlashdata('success', 'Aula removida — fica na lixeira 30 dias.');
|
|
header('Location: ' . base_url('views/admin/horario/index.php'));
|
|
exit;
|
|
}
|
|
|
|
$items = db_horario_list($pdo);
|
|
$page_title = 'Horário de Aulas';
|
|
include __DIR__ . '/../../../includes/header.php';
|
|
|
|
$dias = ['segunda'=>'Segunda','terça'=>'Terça','quarta'=>'Quarta','quinta'=>'Quinta','sexta'=>'Sexta','sábado'=>'Sábado','domingo'=>'Domingo'];
|
|
?>
|
|
<div class="container">
|
|
<div class="d-flex justify-content-between align-items-center mb-4">
|
|
<h1 class="h3 mb-0">Horário de Aulas</h1>
|
|
<div class="d-flex gap-2">
|
|
<a class="btn btn-outline-secondary" href="<?= base_url('views/admin/horario/instagram.php') ?>"><i class="bi bi-instagram me-1"></i>Instagram</a>
|
|
<a class="btn btn-outline-secondary" href="<?= base_url('views/admin/horario/calendar.php') ?>"><i class="bi bi-calendar3 me-1"></i>Calendário</a>
|
|
<a class="btn btn-primary" href="<?= base_url('views/admin/horario/create.php') ?>"><i class="bi bi-plus-lg me-1"></i>Adicionar Aula</a>
|
|
</div>
|
|
</div>
|
|
|
|
<div class="card shadow-sm"><div class="card-body p-0">
|
|
<table class="table table-hover align-middle mb-0">
|
|
<thead class="table-light"><tr>
|
|
<th>Modalidade</th><th>Dia</th><th>Início</th><th>Fim</th><th>Sala</th><th style="width:120px">Ações</th>
|
|
</tr></thead>
|
|
<tbody>
|
|
<?php if (!$items): ?>
|
|
<tr><td colspan="6" class="text-center text-muted py-4">Nenhuma aula definida.</td></tr>
|
|
<?php else: ?>
|
|
<?php foreach ($items as $item): ?>
|
|
<tr>
|
|
<td>
|
|
<span style="display:inline-block;width:12px;height:12px;border-radius:3px;background:<?= htmlspecialchars($item['modalidade_cor']) ?>;margin-right:6px"></span>
|
|
<strong><?= htmlspecialchars($item['modalidade_nome']) ?></strong>
|
|
</td>
|
|
<td><?= htmlspecialchars($dias[$item['dia_semana']] ?? $item['dia_semana']) ?></td>
|
|
<td><?= htmlspecialchars($item['hora_inicio_fmt'] ?? substr((string) $item['hora_inicio'], 0, 5)) ?></td>
|
|
<td><?= htmlspecialchars($item['hora_fim_fmt'] ?? substr((string) $item['hora_fim'], 0, 5)) ?></td>
|
|
<td><span class="badge bg-light text-dark"><?= htmlspecialchars($item['local']) ?></span></td>
|
|
<td>
|
|
<a class="btn btn-sm btn-outline-primary" href="edit.php?id=<?= $item['id'] ?>"><i class="bi bi-pencil"></i></a>
|
|
<form method="POST" class="d-inline" onsubmit="return confirm('Remover esta aula?')"><?= csrf_field() ?><button class="btn btn-sm btn-outline-danger" name="delete" value="<?= (int) $item['id'] ?>" aria-label="Apagar"><i class="bi bi-trash"></i></button></form>
|
|
</td>
|
|
</tr>
|
|
<?php endforeach; endif; ?>
|
|
</tbody>
|
|
</table>
|
|
</div></div>
|
|
</div>
|
|
<?php include __DIR__ . '/../../../includes/footer.php';
|