Безопасность: остаток аудита — L2b, L3, L6, L7, L8, L10, L11, M4

- L2b: CSRF для изменяющих запросов админки — проверка Origin (иначе Referer)
  против Host на всех не-GET под /admin (sameOriginRequest в authMiddleware);
  за loopback-прокси учитывается X-Forwarded-Host. Второй слой поверх
  SameSite=Lax, без правки десятков форм настроек.
- L3: /back-to-admin меняет состояние — только POST + csrfOK (форма уже с токеном,
  проверки в обработчике не было).
- L6: EXEC процедуры DEPO по имени из настроек — через execProc с проверкой
  идентификатора (sqlident.go, см. коммит строчных событий).
- L7: сессия просмотра (impersonate) снимает IsAdmin цели — сотрудник не действует
  от имени другого администратора; свои действия — из своей сессии.
- L8: bootstrap администратора кабинета под замком lkBootstrapMu — два
  параллельных запроса не заведут двух админов (TOCTOU).
- L10: allowlist перезапуска служб не пропускает пустое имя.
- L11: ретранслятор — лимит тела проверяется по Content-Length до чтения и
  чтение ограничено RELAY_MAX_BODY+1.
- M4: .htaccess дополнительно запрещает *.lock (код установки), если данные
  оказались в веб-корне; nginx-запрет /data уже в README.

L4 (привязка сессии к сети по умолчанию выкл.) и L9 (косметическая cookie
bj_lk_admin, арбитр — ядро) оставлены как есть, отмечены в отчёте.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL

internal/lkgateway/auth.go

@@ -917,6 +917,36 @@ func clientIP(r *http.Request) string {
 	return host
 }
 
+// sameOriginRequest — изменяющий запрос пришёл с нашего же сайта. Сверяем хост из
+// Origin (или Referer, если Origin нет) с Host запроса. Запрос без обоих заголовков
+// (curl, старые клиенты) пропускаем — CSRF из браузера без них не бывает.
+func sameOriginRequest(r *http.Request) bool {
+	src := r.Header.Get("Origin")
+	if src == "" || src == "null" {
+		src = r.Header.Get("Referer")
+	}
+	if src == "" {
+		return true
+	}
+	u, err := url.Parse(src)
+	if err != nil || u.Host == "" {
+		return false
+	}
+	if strings.EqualFold(u.Host, r.Host) {
+		return true
+	}
+	// За прокси Host может быть переписан; браузер же видит внешний адрес —
+	// его передаёт X-Forwarded-Host. Доверяем только от loopback-прокси.
+	if host, _, err := net.SplitHostPort(r.RemoteAddr); err == nil {
+		if ip := net.ParseIP(host); ip != nil && ip.IsLoopback() {
+			if fh := strings.TrimSpace(strings.Split(r.Header.Get("X-Forwarded-Host"), ",")[0]); fh != "" {
+				return strings.EqualFold(u.Host, fh)
+			}
+		}
+	}
+	return false
+}
+
 // reqIsHTTPS — запрос защищён TLS: напрямую или через доверенный (loopback)
 // TLS-терминирующий прокси, сообщивший X-Forwarded-Proto: https. Нужно, чтобы за
 // nginx на том же хосте кука сессии всё равно получала признак Secure.
@@ -946,6 +976,14 @@ func authMiddleware(rc *RuntimeConfig, next http.Handler) http.Handler {
 			next.ServeHTTP(w, r)
 			return
 		}
+		// CSRF для изменяющих запросов админки: cookie сессии — SameSite=Lax, а вторым
+		// слоем — источник запроса должен быть тем же сайтом (Origin, иначе Referer).
+		// Токена в формах нет, поэтому это единственная явная проверка; браузеры всегда
+		// шлют Origin на кросс-сайтовый POST.
+		if r.Method != http.MethodGet && r.Method != http.MethodHead && !sameOriginRequest(r) {
+			http.Error(w, "запрос с чужого сайта отклонён", http.StatusForbidden)
+			return
+		}
 		if firstRunPending() { // свежая установка: сначала администратор по одноразовому коду
 			if isAjax(r) {
 				http.Error(w, "требуется первичная настройка", http.StatusUnauthorized)

internal/lkgateway/lkapi.go

@@ -134,6 +134,10 @@ func registerLKAPI(mux *http.ServeMux, rc *RuntimeConfig, svc *Service) {
 			lkJSON(w, http.StatusMethodNotAllowed, map[string]string{"error": "нужен POST"})
 			return
 		}
+		// Проверка «админа ещё нет» и создание — под одним замком: иначе два
+		// параллельных bootstrap оба увидят «нет» и заведут двух администраторов.
+		lkBootstrapMu.Lock()
+		defer lkBootstrapMu.Unlock()
 		has, err := lkHasAdmin(r.Context(), rc)
 		if err != nil {
 			lkJSON(w, http.StatusBadGateway, map[string]string{"error": "база кабинета недоступна: " + err.Error()})

internal/lkgateway/lkbootstrap_mu.go

@@ -0,0 +1,8 @@
+package lkgateway
+
+import "sync"
+
+// lkBootstrapMu — замок первичного создания администратора кабинета
+// (/api/lk/admin/bootstrap): проверка «админа ещё нет» и создание выполняются
+// атомарно, чтобы два параллельных запроса не завели двух администраторов.
+var lkBootstrapMu sync.Mutex

internal/lkgateway/lksession.go

@@ -265,9 +265,13 @@ func (s *lkSessions) user(ctx context.Context, rc *RuntimeConfig, v lkSession) (
 		return LKUser{}, errors.New("учётная запись заблокирована")
 	}
 	// Сотрудник в кабинете клиента — только просмотр, что бы ни стояло в учётке.
+	// IsAdmin тоже снимаем: иначе, открыв кабинет другого администратора, сотрудник
+	// действовал бы от его имени с полными правами. Свои админ-действия он делает из
+	// собственной сессии (bj_lk_admin_sess), а не из сессии просмотра.
 	if v.ImpersonatedBy != "" {
 		u.ImpersonatedBy = v.ImpersonatedBy
 		u.CanTransfer = false
+		u.IsAdmin = false
 	}
 	return u, nil
 }

internal/lkgateway/units.go

@@ -109,7 +109,8 @@ func (h *setupHandlers) unitRestart(w http.ResponseWriter, r *http.Request) {
 	unit := strings.TrimSpace(r.FormValue("unit"))
 	known := false
 	for _, c := range release.Components {
-		if c.Unit == unit {
+		// пустой Unit у bj-component-install — не служба; пустая строка не должна проходить
+		if c.Unit != "" && c.Unit == unit {
 			known = true
 		}
 	}

modules/lk/lk.go

@@ -1221,6 +1221,12 @@ func (s *Server) buildHandler() http.Handler {
 
 	// Администратор: вернуться из кабинета клиента
 	mux.HandleFunc("/back-to-admin", func(w http.ResponseWriter, r *http.Request) {
+		// Меняет состояние (гасит сессию просмотра, переключает cookie) — только POST
+		// своей формы с CSRF, как и остальные изменяющие действия.
+		if r.Method != http.MethodPost || !csrfOK(r) {
+			http.Redirect(w, r, "/", http.StatusSeeOther)
+			return
+		}
 		// Сессию просмотра гасим в ядре, а не бросаем: иначе выданные сотруднику
 		// токены чужих кабинетов копились бы и жили ещё 12 часов.
 		if c, err := r.Cookie("bj_lk_admin_sess"); err == nil && c.Value != "" {

modules/lk/relay-php/.htaccess

@@ -7,6 +7,6 @@ DirectoryIndex index.php
   RewriteRule ^ index.php [L,QSA]
 </IfModule>
 # Служебные файлы наружу не отдаём.
-<FilesMatch "\.(sqlite|sqlite-wal|sqlite-shm|json|md|txt)$">
+<FilesMatch "\.(sqlite|sqlite-wal|sqlite-shm|json|md|txt|lock)$">
   Require all denied
 </FilesMatch>

modules/lk/relay-php/index.php

@@ -372,7 +372,11 @@ function agentResult(array $cfg): never
 
 function envelopeFromRequest(): array
 {
-    $body = (string)file_get_contents('php://input');
+    // L11: не читать тело целиком, если заявленный размер уже превышает лимит.
+    if ((int)($_SERVER['CONTENT_LENGTH'] ?? 0) > RELAY_MAX_BODY) {
+        throw new LengthException('Запрос слишком большой');
+    }
+    $body = (string)file_get_contents('php://input', false, null, 0, RELAY_MAX_BODY + 1);
     if (strlen($body) > RELAY_MAX_BODY) {
         throw new LengthException('Запрос слишком большой');
     }