Files
fitme3070.pt/views/admin/modalidades/index.php
T
andreandClaude Opus 5.5 895b3d58d7 fix(segurança): lixeira de 30 dias, CSRF em todas as ações, IP real, sessão e uploads
Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html).

Lixeira
- Tudo o que é importante passa a soft delete (deleted_at + deleted_by):
  equipa, modalidades, eventos, mensalidades, galerias, imagens, horário,
  horas de funcionamento, inscrições em eventos e pedidos de inscrição.
- config/functions_trash.php: um registo por tipo; apagar, restaurar, listar
  e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira —
  a condição está no WHERE do DELETE, um POST forjado não apaga nada.
- Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e
  quando, restauro a qualquer momento.
- Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para
  .trash/ (negado pelo .htaccess) e volta no restauro.
- As listagens e o site público filtram deleted_at (horário também filtra
  modalidades apagadas). Migração: database/migration_20260925_trash.sql
  (só acrescenta colunas; tem de ser aplicada antes deste código).

CSRF
- csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía
  sem verificar nada em GET, e dez ações de apagar/restaurar eram GET.
- Os dez handlers passaram a POST com token; links viraram formulários.

Autenticação e sessão
- client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado
  com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global).
- Throttle também por conta (hash do email), além do IP.
- Sem oráculo de tempo: login verifica contra um hash de referência quando
  a conta não existe; a recuperação deixa o email na fila.
- Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode.
- Definições de sistema só para sysadmin; autocomplete=username.

Servidor e uploads
- .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy,
  CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais
  _*.php, PHP soltos do platform-tools e *.md; 404 própria.
- Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts,
  handlers on*=, foreignObject ou hrefs externos.

Testado numa cópia da BD de produção (fitme_audit_test) com um contentor
temporário: 34/34 verificações HTTP ponta-a-ponta.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-09-25 07:16:10 +01:00

77 lines
4.3 KiB
PHP

<?php
require __DIR__ . '/../../../config/db.php';
require __DIR__ . '/../../../config/functions.php';
$user = require_admin();
// Handle delete BEFORE any output
// POST + CSRF: um link GET podia ser disparado a partir de outro site.
if (isset($_POST['delete']) && is_numeric($_POST['delete'])) {
csrf_check();
db_modalidades_delete($pdo, (int) $_POST['delete']);
session()->setFlashdata('success', 'Modalidade apagada — fica na lixeira 30 dias.');
header('Location: ' . base_url('views/admin/modalidades/index.php'));
exit;
}
// Optimize existing icons (resize/compress to the modalidades cap).
// Covers the whole icons dir, shared flaticon library included — resizing in
// place keeps the filenames, so nothing the picker or the site references breaks.
if (isset($_POST['optimize'])) {
csrf_check();
$stats = img_optimize_dir(modalidades_icon_dir(), IMG_MAX_MODALIDADE);
session()->setFlashdata($stats['failed'] ? 'warning' : 'success', img_stats_message($stats));
header('Location: ' . base_url('views/admin/modalidades/index.php'));
exit;
}
$items = db_modalidades_list($pdo);
$page_title = 'Modalidades';
include __DIR__ . '/../../../includes/header.php';
?>
<div class="container">
<div class="d-flex justify-content-between align-items-center mb-4">
<h1 class="h3 mb-0">Modalidades</h1>
<div class="d-flex gap-2">
<form method="POST" class="mb-0">
<?= csrf_field() ?>
<button type="submit" name="optimize" value="1" class="btn btn-outline-success"
title="Redimensiona e comprime os ícones para o máximo de <?= IMG_MAX_MODALIDADE ?>px"
onclick="return confirm('Otimizar todos os ícones (máx. <?= IMG_MAX_MODALIDADE ?>px)? Os ficheiros originais serão substituídos.')">
<i class="bi bi-arrows-angle-contract me-1"></i>Otimizar ícones
</button>
</form>
<a class="btn btn-primary" href="<?= base_url('views/admin/modalidades/create.php') ?>"><i class="bi bi-plus-lg me-1"></i>Adicionar Modalidade</a>
</div>
</div>
<div class="card shadow-sm"><div class="card-body p-0">
<table class="table table-hover align-middle mb-0">
<thead class="table-light"><tr>
<th>Ícone</th><th>Nome</th><th>Cor</th><th>Ordem</th><th style="width:120px">Ações</th>
</tr></thead>
<tbody>
<?php if (!$items): ?>
<tr><td colspan="5" class="text-center text-muted py-4">Nenhuma modalidade.</td></tr>
<?php else: ?>
<?php foreach ($items as $item): ?>
<tr>
<td><?php if ($item['icon']): ?><img src="<?= base_url('uploads/modalidades/icons/' . $item['icon']) ?>" alt="" style="height:32px;"><?php else: ?><span class="text-muted">—</span><?php endif; ?></td>
<td><strong><?= htmlspecialchars($item['nome']) ?></strong></td>
<td><span style="display:inline-block;width:24px;height:24px;border-radius:4px;background:<?= htmlspecialchars($item['cor']) ?>;border:1px solid rgba(0,0,0,.1)"></span> <?= htmlspecialchars($item['cor']) ?></td>
<td><?= (int) $item['item_order'] ?></td>
<td>
<?php if ($item['deleted_at']): ?>
<form method="POST" action="edit.php?id=<?= (int) $item['m_id'] ?>&amp;restore=1" class="d-inline"><?= csrf_field() ?><button class="btn btn-sm btn-outline-info" name="restore" value="1">Restaurar</button></form>
<?php else: ?>
<a class="btn btn-sm btn-outline-primary" href="edit.php?id=<?= $item['m_id'] ?>"><i class="bi bi-pencil"></i></a>
<form method="POST" class="d-inline" onsubmit="return confirm('Apagar esta modalidade?')"><?= csrf_field() ?><button class="btn btn-sm btn-outline-danger" name="delete" value="<?= (int) $item['m_id'] ?>" aria-label="Apagar"><i class="bi bi-trash"></i></button></form>
<?php endif; ?>
</td>
</tr>
<?php endforeach; endif; ?>
</tbody>
</table>
</div></div>
</div>
<?php include __DIR__ . '/../../../includes/footer.php';