gitmedia/presseportale
1
0
Fork 0
Code Issues Pull requests Projects Releases Packages Wiki Activity Actions 2

Optimierung Phase 0: Korrektheit & Security

Browse source 
Konsolidierter Entwicklungsplan aus den zwei Analyse-Dokumenten plus
Umsetzung der Phase-0-Massnahmen (Korrektheit/Security, je mit Tests):

0.1 BasicAuth: timing-sicherer Vergleich (hash_equals, beide Felder ohne
    Short-Circuit); Enabled-Check zur Laufzeit via config('auth.basic.*')
    statt env() im Bootstrap-Closure (greift jetzt unter config:cache);
    Config-Block + .env.example. Fund: auth.basic.* war nie als Config
    definiert, Gate war faktisch unkonfigurierbar.
0.2 Legacy-Invoice-"latest"-Abfrage zentralisiert (LegacyInvoice::
    scopeLatestFirst + User::latestLegacyInvoice); beide Consumer N+1-frei
    umgestellt; unterschiedliches null-Verhalten bewusst erhalten.
0.3 Payment-Option-Eligibility vereinheitlicht (period-aware, strikt):
    UserPaymentOption::scopeActiveNow/grandfatheredNow + User::
    hasActivePaymentOption; hasActiveBooking/hasUnlimitedPressReleaseQuota
    und ApiAccessEligibilityService darauf umgestellt; $hasGrandfathered-
    Mislabel behoben.
0.4 Theme->Portal-Vokabular: totes, projektfremdes ThemeMiddleware
    geloescht; Mapping in Portal::fromTheme() zentralisiert; fremden
    b2in-Default im ThemeServiceProvider auf Portal-Default korrigiert.
0.5 InvoiceNumberGenerator: Erst-Insert race-sicher via insertOrIgnore
    (Unique-Index auf circle existiert bereits). CreditWalletService war
    bereits abgesichert (Unique-Index + createOrFirst).

Tests: 4 neue Dateien, 5 bestehende auf gueltiges grandfathered_until
angepasst. Volle Suite gruen (793 passed, 1 skipped).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
This commit is contained in:
Kevin Adametz 2026-06-19 08:09:02 +00:00
parent 6cb7b79dae
commit c7bd940f28
27 changed files with 990 additions and 133 deletions
Download patch file Download diff file Expand all files Collapse all files

18
app/Http/Middleware/BasicAuthMiddleware.php
View file

@ -15,6 +15,11 @@ class BasicAuthMiddleware
*/
public function handle(Request $request, Closure $next): Response
{
// Gate global deaktiviert (z. B. Produktion/Tests)
if (! config('auth.basic.enabled', true)) {
return $next($request);
}
// Skip Basic Auth für Livewire-Requests komplett
// Diese sind bereits durch Laravel Session/CSRF geschützt
$path = $request->path();
@ -38,11 +43,20 @@ class BasicAuthMiddleware
return $next($request);
}
// Credentials from .env file
// Zugangsdaten aus der Config (gespeist aus .env). Ist nichts
// konfiguriert, wird der Gate nicht erzwungen.
$user = config('auth.basic.user');
$pass = config('auth.basic.password');
if ($request->getUser() != $user || $request->getPassword() != $pass) {
if (($user === null || $user === '') && ($pass === null || $pass === '')) {
return $next($request);
}
// Timing-sicherer Vergleich beider Felder (kein Short-Circuit).
$userValid = hash_equals((string) $user, (string) $request->getUser());
$passValid = hash_equals((string) $pass, (string) $request->getPassword());
if (! $userValid || ! $passValid) {
return response('Unauthorized.', 401, ['WWW-Authenticate' => 'Basic']);
}