andreandClaude Opus 5.5
895b3d58d7
Correções da auditoria de 24/09 (audits/fitme3070-auditoria-2026-09-24.html). Lixeira - Tudo o que é importante passa a soft delete (deleted_at + deleted_by): equipa, modalidades, eventos, mensalidades, galerias, imagens, horário, horas de funcionamento, inscrições em eventos e pedidos de inscrição. - config/functions_trash.php: um registo por tipo; apagar, restaurar, listar e eliminar leem todos dele. Eliminar de vez só com 30 dias na lixeira — a condição está no WHERE do DELETE, um POST forjado não apaga nada. - Gestão → Lixeira (views/admin/trash/index.php): lista única com quem e quando, restauro a qualquer momento. - Imagens de galeria: o site lista a pasta, por isso o ficheiro passa para .trash/ (negado pelo .htaccess) e volta no restauro. - As listagens e o site público filtram deleted_at (horário também filtra modalidades apagadas). Migração: database/migration_20260925_trash.sql (só acrescenta colunas; tem de ser aplicada antes deste código). CSRF - csrf_check() recusa qualquer pedido que não seja POST (405). Antes saía sem verificar nada em GET, e dez ações de apagar/restaurar eram GET. - Os dez handlers passaram a POST com token; links viraram formulários. Autenticação e sessão - client_ip(): X-Real-IP / último X-Forwarded-For, só vindo de proxy privado com TRUSTED_PROXY. O throttle contava o IP do proxy (limite global). - Throttle também por conta (hash do email), além do IP. - Sem oráculo de tempo: login verifica contra um hash de referência quando a conta não existe; a recuperação deixa o email na fila. - Cookie de sessão Secure/HttpOnly/SameSite=Lax e use_strict_mode. - Definições de sistema só para sysadmin; autocomplete=username. Servidor e uploads - .htaccess: nosniff, Referrer-Policy, X-Frame-Options, Permissions-Policy, CSP (frame-ancestors, base-uri, object-src, form-action); nega parciais _*.php, PHP soltos do platform-tools e *.md; 404 própria. - Uploads validados pelo conteúdo (finfo/getimagesize); SVG só sem scripts, handlers on*=, foreignObject ou hrefs externos. Testado numa cópia da BD de produção (fitme_audit_test) com um contentor temporário: 34/34 verificações HTTP ponta-a-ponta. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
84 lines
3.1 KiB
PHP
84 lines
3.1 KiB
PHP
<?php
|
|
// "Forgot password" request. Mints a single-use token in `password_resets` and
|
|
// emails the reset link through the centralized notify façade.
|
|
//
|
|
// The response is identical whether or not the address exists — otherwise this
|
|
// page would be an account-enumeration oracle.
|
|
//
|
|
// This is also how anyone carried over from the Andmore ID era sets their
|
|
// first local password: those rows have password_hash NULL, and the flow keys
|
|
// on the address on file, so only its owner can act on the link.
|
|
|
|
require __DIR__ . '/../../config/db.php';
|
|
require_once __DIR__ . '/../../config/functions.php';
|
|
|
|
if (!empty($_SESSION['user_id'])) {
|
|
header('Location: ' . base_url(post_login_destination($_SESSION['user']['role'] ?? '')));
|
|
exit;
|
|
}
|
|
|
|
$sent = false;
|
|
$error = '';
|
|
|
|
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
|
|
csrf_check();
|
|
|
|
// Tighter than login: minting a reset token costs an email each time.
|
|
if (!throttle_check($pdo, 'pwreset', 3, 10)) {
|
|
throttle_block('forgot password');
|
|
}
|
|
throttle_record($pdo, 'pwreset');
|
|
|
|
$email = trim($_POST['email'] ?? '');
|
|
if ($email === '' || !filter_var($email, FILTER_VALIDATE_EMAIL)) {
|
|
$error = 'Endereço de email inválido.';
|
|
} else {
|
|
$user = user_find_by_email($pdo, $email);
|
|
if ($user) {
|
|
$token = auth_create_reset_token($pdo, (int) $user['id']);
|
|
send_password_reset_email(
|
|
(string) $user['name'],
|
|
(string) $user['email'],
|
|
base_url('views/auth/reset_password.php?token=' . $token),
|
|
(int) $user['id'],
|
|
false // fica na fila: o tempo de resposta não pode denunciar a conta
|
|
);
|
|
}
|
|
// Same message either way.
|
|
$sent = true;
|
|
}
|
|
}
|
|
|
|
$page_title = 'Recuperar palavra-passe';
|
|
include __DIR__ . '/../../includes/auth_header.php';
|
|
?>
|
|
<p class="auth-sub">Enviamos-lhe um link para definir uma nova palavra-passe.</p>
|
|
|
|
<?php if ($error): ?>
|
|
<div class="alert alert-danger py-2 small"><?= htmlspecialchars($error) ?></div>
|
|
<?php endif; ?>
|
|
|
|
<?php if ($sent): ?>
|
|
<div class="alert alert-success py-2 small">
|
|
Se existir uma conta com esse email, vai receber as instruções
|
|
nos próximos minutos. O link é válido durante 2 horas.
|
|
</div>
|
|
<a href="<?= htmlspecialchars(base_url('views/auth/login.php')) ?>" class="btn btn-outline-secondary w-100">Voltar ao login</a>
|
|
<?php else: ?>
|
|
<form method="POST" novalidate>
|
|
<?= csrf_field() ?>
|
|
<div class="mb-4">
|
|
<label class="form-label" for="fp-email">Email</label>
|
|
<input type="email" id="fp-email" name="email" class="form-control" required autofocus
|
|
autocomplete="email" inputmode="email"
|
|
value="<?= htmlspecialchars($_POST['email'] ?? '') ?>">
|
|
</div>
|
|
<button type="submit" class="btn btn-primary w-100">Enviar link</button>
|
|
</form>
|
|
<hr class="my-3">
|
|
<p class="text-center small mb-0 auth-foot">
|
|
<a href="<?= htmlspecialchars(base_url('views/auth/login.php')) ?>">Voltar ao login</a>
|
|
</p>
|
|
<?php endif; ?>
|
|
<?php include __DIR__ . '/../../includes/auth_footer.php'; ?>
|