Kevin Adametz
5dfd622141
Restliche Phase 4 aus dem Sicherheitsaudit 07.10.2026: - Sicherheitsseite: „Andere Geräte abmelden“ rotiert remember_token und beendet alle anderen Sessions, die aktuelle bleibt (nicht während einer Impersonation). - LoginIpThrottle: 20 Fehlversuche je IP in 15 Minuten über alle Konten. Gezählt über das Failed-Event, damit Livewire-Login und Fortifys POST /login denselben Zähler teilen; Erfolg setzt ihn nicht zurück. - Sperrmarke für Sessions in users.sessions_revoked_at_ms statt nur im Cache — übersteht cache:clear. Die alte Cache-Marke zählt übergangsweise mit und kann im nächsten Release entfallen. - Neue und geänderte Passwörter: mindestens 12 Zeichen, in Produktion zusätzlich uncompromised() (HIBP, k-Anonymität). Bestehende bleiben gültig. - Content-Security-Policy-Report-Only in Produktion; Meldungen über /csp-report nach storage/logs/csp-*.log, je Meldung höchstens einmal pro Stunde, ohne Query und tokenartige Pfadsegmente. Migration: users.sessions_revoked_at_ms (users hat FULLTEXT, 25 MB, Sekunden). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
53 lines
1.5 KiB
PHP
53 lines
1.5 KiB
PHP
<?php
|
|
|
|
namespace App\Http\Middleware;
|
|
|
|
use App\Models\User;
|
|
use App\Services\Auth\SessionRevocation;
|
|
use Closure;
|
|
use Illuminate\Auth\SessionGuard;
|
|
use Illuminate\Http\Request;
|
|
use Illuminate\Support\Facades\Auth;
|
|
use Symfony\Component\HttpFoundation\Response;
|
|
|
|
/**
|
|
* Meldet eine Session ab, die vor der letzten Sperre ihres Kontos entstanden
|
|
* ist (SessionRevocation, Audit K-04). Die Marke steht am geladenen User;
|
|
* bis zum Release nach v1.6.0 kommt ein Cache-Zugriff dazu (Übergang).
|
|
*/
|
|
class EnsureSessionIsNotRevoked
|
|
{
|
|
public function __construct(private readonly SessionRevocation $revocation) {}
|
|
|
|
public function handle(Request $request, Closure $next): Response
|
|
{
|
|
if (! $request->hasSession()) {
|
|
return $next($request);
|
|
}
|
|
|
|
/** @var SessionGuard $guard */
|
|
$guard = Auth::guard('web');
|
|
|
|
if (! $guard->hasUser() && ! $request->session()->has($guard->getName())) {
|
|
return $next($request);
|
|
}
|
|
|
|
$user = $guard->user();
|
|
|
|
if (! $user instanceof User || ! $this->revocation->isRevoked($user, $request->session())) {
|
|
return $next($request);
|
|
}
|
|
|
|
// Ohne logout(): das würde remember_token erneut rotieren und damit
|
|
// auch die gerade gültige Anmeldung des Kontoinhabers treffen.
|
|
$guard->logoutCurrentDevice();
|
|
$request->session()->invalidate();
|
|
$request->session()->regenerateToken();
|
|
|
|
if ($request->expectsJson()) {
|
|
abort(401);
|
|
}
|
|
|
|
return redirect()->guest(route('login'));
|
|
}
|
|
}
|