Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html). Lixeira - Tudo o que é importante passa a soft delete (deleted_at + deleted_by): equipa, modalidades, eventos, mensalidades, galerias, imagens, horário, horas de funcionamento, inscrições em eventos e pedidos de inscrição. - config/functions_trash.php: um registo por tipo; apagar, restaurar, listar e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira — a condição está no WHERE do DELETE, um POST forjado não apaga nada. - Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e quando, restauro a qualquer momento. - Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para .trash/ (negado pelo .htaccess) e volta no restauro. - As listagens e o site público filtram deleted_at (horário também filtra modalidades apagadas). Migração: database/migration_20260925_trash.sql (só acrescenta colunas; tem de ser aplicada antes deste código). CSRF - csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía sem verificar nada em GET, e dez ações de apagar/restaurar eram GET. - Os dez handlers passaram a POST com token; links viraram formulários. Autenticação e sessão - client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global). - Throttle também por conta (hash do email), além do IP. - Sem oráculo de tempo: login verifica contra um hash de referência quando a conta não existe; a recuperação deixa o email na fila. - Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode. - Definições de sistema só para sysadmin; autocomplete=username. Servidor e uploads - .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy, CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais _*.php, PHP soltos do platform-tools e *.md; 404 própria. - Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts, handlers on*=, foreignObject ou hrefs externos. Testado numa cópia da BD de produção (fitme_audit_test) com um contentor temporário: 34/34 verificações HTTP ponta-a-ponta. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
114 lines
5.7 KiB
PHP
114 lines
5.7 KiB
PHP
<?php
|
|
require __DIR__ . '/../../../config/db.php';
|
|
require __DIR__ . '/../../../config/functions.php';
|
|
$user = require_admin();
|
|
|
|
$id = (int) ($_GET['id'] ?? 0);
|
|
if (!$id) { header('Location: index.php'); exit; }
|
|
|
|
// Restaurar só por POST + CSRF (o formulário aponta para ?restore=1).
|
|
if ($_SERVER['REQUEST_METHOD'] === 'POST' && (isset($_POST['restore']) || isset($_GET['restore']))) {
|
|
csrf_check();
|
|
db_modalidades_restore($pdo, $id);
|
|
session()->setFlashdata('success', 'Modalidade restaurada.');
|
|
header('Location: index.php');
|
|
exit;
|
|
}
|
|
|
|
$item = db_modalidades_get($pdo, $id);
|
|
if (!$item) { header('Location: index.php'); exit; }
|
|
|
|
$errors = [];
|
|
$data = $item;
|
|
|
|
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
|
|
csrf_check();
|
|
$data = [
|
|
'nome' => trim($_POST['nome'] ?? ''),
|
|
'cor' => trim($_POST['cor'] ?? '#808080'),
|
|
'icon' => trim($_POST['icon'] ?? ''),
|
|
'descricao' => trim($_POST['descricao'] ?? ''),
|
|
'item_order' => (int) ($_POST['item_order'] ?? 0),
|
|
];
|
|
if ($data['nome'] === '') $errors[] = 'O nome é obrigatório.';
|
|
|
|
// Image: a new upload replaces the current icon; otherwise an explicit
|
|
// "remover" clears it. Either way the old custom file is cleaned up (the
|
|
// helper leaves shared-library icons alone).
|
|
$uploaded = null;
|
|
if (!$errors) {
|
|
$icon_err = null;
|
|
$uploaded = modalidades_icon_upload($_FILES['icon_file'] ?? [], $icon_err);
|
|
if ($icon_err) $errors[] = $icon_err;
|
|
}
|
|
if (!$errors) {
|
|
if ($uploaded) {
|
|
modalidades_icon_remove($item['icon']);
|
|
$data['icon'] = $uploaded;
|
|
} elseif (!empty($_POST['remove_icon'])) {
|
|
modalidades_icon_remove($item['icon']);
|
|
$data['icon'] = '';
|
|
}
|
|
$changed = db_modalidades_update($pdo, $id, $data);
|
|
if ($changed) session()->setFlashdata('success', 'Modalidade atualizada.');
|
|
else session()->setFlashdata('warning', 'Nenhuma alteração.');
|
|
header('Location: ' . base_url('views/admin/modalidades/edit.php?id=' . $id));
|
|
exit;
|
|
}
|
|
}
|
|
|
|
$icons = db_flaticon_list($pdo);
|
|
$page_title = 'Editar Modalidade';
|
|
include __DIR__ . '/../../../includes/header.php';
|
|
?>
|
|
<div class="container" style="max-width:700px;">
|
|
<div class="d-flex justify-content-between align-items-center mb-4">
|
|
<h1 class="h3 mb-0">Editar Modalidade</h1>
|
|
<a class="btn btn-outline-secondary btn-sm" href="index.php"><i class="bi bi-arrow-left me-1"></i>Voltar</a>
|
|
</div>
|
|
<?php foreach ($errors as $e): ?><div class="alert alert-danger"><?= htmlspecialchars($e) ?></div><?php endforeach; ?>
|
|
|
|
<form method="POST" enctype="multipart/form-data" class="card shadow-sm"><div class="card-body">
|
|
<?= csrf_field() ?>
|
|
<div class="row g-3">
|
|
<div class="col-md-8"><label class="form-label">Nome <span class="text-danger">*</span></label>
|
|
<input class="form-control" name="nome" required value="<?= htmlspecialchars($data['nome'] ?? '') ?>"></div>
|
|
<div class="col-md-4"><label class="form-label">Cor</label>
|
|
<input type="color" class="form-control form-control-color" name="cor" value="<?= htmlspecialchars($data['cor'] ?? '#808080') ?>"></div>
|
|
<div class="col-md-6"><label class="form-label">Ícone</label>
|
|
<input class="form-control" name="icon" value="<?= htmlspecialchars($data['icon'] ?? '') ?>">
|
|
<?php if (!empty($item['icon'])): ?><div class="form-text"><img src="<?= base_url('uploads/modalidades/icons/' . $item['icon']) ?>" style="height:28px;"> atual</div><?php endif; ?></div>
|
|
<div class="col-md-6"><label class="form-label">Carregar imagem</label>
|
|
<input type="file" class="form-control" name="icon_file" accept=".png,.jpg,.jpeg,.gif,.webp,.svg">
|
|
<div class="form-text">Substitui o ícone atual. Máx. 2 MB.</div>
|
|
<?php if (!empty($item['icon'])): ?>
|
|
<div class="form-check mt-2">
|
|
<input class="form-check-input" type="checkbox" name="remove_icon" id="remove_icon" value="1">
|
|
<label class="form-check-label small" for="remove_icon">Remover imagem atual</label>
|
|
</div>
|
|
<?php endif; ?></div>
|
|
<div class="col-md-3"><label class="form-label">Ordem</label>
|
|
<input type="number" class="form-control" name="item_order" value="<?= (int) ($data['item_order'] ?? 0) ?>" min="0"></div>
|
|
<div class="col-12"><label class="form-label">Descrição</label>
|
|
<textarea class="form-control js-wysiwyg" data-wysiwyg-height="200" name="descricao" rows="3"><?= htmlspecialchars($data['descricao'] ?? '') ?></textarea></div>
|
|
</div>
|
|
<?php if ($icons): ?>
|
|
<div class="mt-3"><label class="form-label small text-muted">Ícones disponíveis</label>
|
|
<div class="d-flex flex-wrap gap-3">
|
|
<?php foreach ($icons as $icon): ?>
|
|
<div class="text-center" style="width:90px">
|
|
<img src="<?= base_url('uploads/modalidades/icons/' . $icon['name']) ?>" alt="" style="height:28px" onerror="this.style.display='none'">
|
|
<div class="small text-muted text-truncate"><?= htmlspecialchars($icon['name']) ?></div>
|
|
</div>
|
|
<?php endforeach; ?>
|
|
</div>
|
|
</div>
|
|
<?php endif; ?>
|
|
<div class="mt-4 d-flex gap-2">
|
|
<button type="submit" class="btn btn-primary">Atualizar</button>
|
|
<a class="btn btn-outline-secondary" href="index.php">Cancelar</a>
|
|
</div>
|
|
</div></form>
|
|
</div>
|
|
<?php include __DIR__ . '/../../../includes/footer.php'; ?>
|