Безопасность: остаток аудита — L2b, L3, L6, L7, L8, L10, L11, M4

- L2b: CSRF для изменяющих запросов админки — проверка Origin (иначе Referer)
  против Host на всех не-GET под /admin (sameOriginRequest в authMiddleware);
  за loopback-прокси учитывается X-Forwarded-Host. Второй слой поверх
  SameSite=Lax, без правки десятков форм настроек.
- L3: /back-to-admin меняет состояние — только POST + csrfOK (форма уже с токеном,
  проверки в обработчике не было).
- L6: EXEC процедуры DEPO по имени из настроек — через execProc с проверкой
  идентификатора (sqlident.go, см. коммит строчных событий).
- L7: сессия просмотра (impersonate) снимает IsAdmin цели — сотрудник не действует
  от имени другого администратора; свои действия — из своей сессии.
- L8: bootstrap администратора кабинета под замком lkBootstrapMu — два
  параллельных запроса не заведут двух админов (TOCTOU).
- L10: allowlist перезапуска служб не пропускает пустое имя.
- L11: ретранслятор — лимит тела проверяется по Content-Length до чтения и
  чтение ограничено RELAY_MAX_BODY+1.
- M4: .htaccess дополнительно запрещает *.lock (код установки), если данные
  оказались в веб-корне; nginx-запрет /data уже в README.

L4 (привязка сессии к сети по умолчанию выкл.) и L9 (косметическая cookie
bj_lk_admin, арбитр — ядро) оставлены как есть, отмечены в отчёте.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL

modules/lk/lk.go

@@ -1221,6 +1221,12 @@ func (s *Server) buildHandler() http.Handler {
 
 	// Администратор: вернуться из кабинета клиента
 	mux.HandleFunc("/back-to-admin", func(w http.ResponseWriter, r *http.Request) {
+		// Меняет состояние (гасит сессию просмотра, переключает cookie) — только POST
+		// своей формы с CSRF, как и остальные изменяющие действия.
+		if r.Method != http.MethodPost || !csrfOK(r) {
+			http.Redirect(w, r, "/", http.StatusSeeOther)
+			return
+		}
 		// Сессию просмотра гасим в ядре, а не бросаем: иначе выданные сотруднику
 		// токены чужих кабинетов копились бы и жили ещё 12 часов.
 		if c, err := r.Cookie("bj_lk_admin_sess"); err == nil && c.Value != "" {

modules/lk/relay-php/.htaccess

@@ -7,6 +7,6 @@ DirectoryIndex index.php
   RewriteRule ^ index.php [L,QSA]
 </IfModule>
 # Служебные файлы наружу не отдаём.
-<FilesMatch "\.(sqlite|sqlite-wal|sqlite-shm|json|md|txt)$">
+<FilesMatch "\.(sqlite|sqlite-wal|sqlite-shm|json|md|txt|lock)$">
   Require all denied
 </FilesMatch>

modules/lk/relay-php/index.php

@@ -372,7 +372,11 @@ function agentResult(array $cfg): never
 
 function envelopeFromRequest(): array
 {
-    $body = (string)file_get_contents('php://input');
+    // L11: не читать тело целиком, если заявленный размер уже превышает лимит.
+    if ((int)($_SERVER['CONTENT_LENGTH'] ?? 0) > RELAY_MAX_BODY) {
+        throw new LengthException('Запрос слишком большой');
+    }
+    $body = (string)file_get_contents('php://input', false, null, 0, RELAY_MAX_BODY + 1);
     if (strlen($body) > RELAY_MAX_BODY) {
         throw new LengthException('Запрос слишком большой');
     }