zuevav
3bb5e79272
- L2b: CSRF для изменяющих запросов админки — проверка Origin (иначе Referer) против Host на всех не-GET под /admin (sameOriginRequest в authMiddleware); за loopback-прокси учитывается X-Forwarded-Host. Второй слой поверх SameSite=Lax, без правки десятков форм настроек. - L3: /back-to-admin меняет состояние — только POST + csrfOK (форма уже с токеном, проверки в обработчике не было). - L6: EXEC процедуры DEPO по имени из настроек — через execProc с проверкой идентификатора (sqlident.go, см. коммит строчных событий). - L7: сессия просмотра (impersonate) снимает IsAdmin цели — сотрудник не действует от имени другого администратора; свои действия — из своей сессии. - L8: bootstrap администратора кабинета под замком lkBootstrapMu — два параллельных запроса не заведут двух админов (TOCTOU). - L10: allowlist перезапуска служб не пропускает пустое имя. - L11: ретранслятор — лимит тела проверяется по Content-Length до чтения и чтение ограничено RELAY_MAX_BODY+1. - M4: .htaccess дополнительно запрещает *.lock (код установки), если данные оказались в веб-корне; nginx-запрет /data уже в README. L4 (привязка сессии к сети по умолчанию выкл.) и L9 (косметическая cookie bj_lk_admin, арбитр — ядро) оставлены как есть, отмечены в отчёте. Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL
9 lines
438 B
Go
9 lines
438 B
Go
package lkgateway
|
|
|
|
import "sync"
|
|
|
|
// lkBootstrapMu — замок первичного создания администратора кабинета
|
|
// (/api/lk/admin/bootstrap): проверка «админа ещё нет» и создание выполняются
|
|
// атомарно, чтобы два параллельных запроса не завели двух администраторов.
|
|
var lkBootstrapMu sync.Mutex
|