zuevav
3bb5e79272
- L2b: CSRF для изменяющих запросов админки — проверка Origin (иначе Referer) против Host на всех не-GET под /admin (sameOriginRequest в authMiddleware); за loopback-прокси учитывается X-Forwarded-Host. Второй слой поверх SameSite=Lax, без правки десятков форм настроек. - L3: /back-to-admin меняет состояние — только POST + csrfOK (форма уже с токеном, проверки в обработчике не было). - L6: EXEC процедуры DEPO по имени из настроек — через execProc с проверкой идентификатора (sqlident.go, см. коммит строчных событий). - L7: сессия просмотра (impersonate) снимает IsAdmin цели — сотрудник не действует от имени другого администратора; свои действия — из своей сессии. - L8: bootstrap администратора кабинета под замком lkBootstrapMu — два параллельных запроса не заведут двух админов (TOCTOU). - L10: allowlist перезапуска служб не пропускает пустое имя. - L11: ретранслятор — лимит тела проверяется по Content-Length до чтения и чтение ограничено RELAY_MAX_BODY+1. - M4: .htaccess дополнительно запрещает *.lock (код установки), если данные оказались в веб-корне; nginx-запрет /data уже в README. L4 (привязка сессии к сети по умолчанию выкл.) и L9 (косметическая cookie bj_lk_admin, арбитр — ядро) оставлены как есть, отмечены в отчёте. Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL
13 lines
471 B
ApacheConf
13 lines
471 B
ApacheConf
# Кабинет клиента депозитария — ретранслятор (PHP). Все адреса ведут в index.php.
|
|
Options -Indexes
|
|
DirectoryIndex index.php
|
|
<IfModule mod_rewrite.c>
|
|
RewriteEngine On
|
|
RewriteCond %{REQUEST_FILENAME} !-f
|
|
RewriteRule ^ index.php [L,QSA]
|
|
</IfModule>
|
|
# Служебные файлы наружу не отдаём.
|
|
<FilesMatch "\.(sqlite|sqlite-wal|sqlite-shm|json|md|txt|lock)$">
|
|
Require all denied
|
|
</FilesMatch>
|