Kevin Adametz
5dfd622141
Restliche Phase 4 aus dem Sicherheitsaudit 07.10.2026: - Sicherheitsseite: „Andere Geräte abmelden“ rotiert remember_token und beendet alle anderen Sessions, die aktuelle bleibt (nicht während einer Impersonation). - LoginIpThrottle: 20 Fehlversuche je IP in 15 Minuten über alle Konten. Gezählt über das Failed-Event, damit Livewire-Login und Fortifys POST /login denselben Zähler teilen; Erfolg setzt ihn nicht zurück. - Sperrmarke für Sessions in users.sessions_revoked_at_ms statt nur im Cache — übersteht cache:clear. Die alte Cache-Marke zählt übergangsweise mit und kann im nächsten Release entfallen. - Neue und geänderte Passwörter: mindestens 12 Zeichen, in Produktion zusätzlich uncompromised() (HIBP, k-Anonymität). Bestehende bleiben gültig. - Content-Security-Policy-Report-Only in Produktion; Meldungen über /csp-report nach storage/logs/csp-*.log, je Meldung höchstens einmal pro Stunde, ohne Query und tokenartige Pfadsegmente. Migration: users.sessions_revoked_at_ms (users hat FULLTEXT, 25 MB, Sekunden). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
81 lines
3 KiB
PHP
81 lines
3 KiB
PHP
<?php
|
|
|
|
namespace Tests;
|
|
|
|
use Illuminate\Foundation\Testing\TestCase as BaseTestCase;
|
|
use Illuminate\Support\Facades\DB;
|
|
use RuntimeException;
|
|
|
|
abstract class TestCase extends BaseTestCase
|
|
{
|
|
/**
|
|
* Schutz vor einem gecachten `bootstrap/cache/config.php`: Der überlagert
|
|
* die phpunit.xml-Umgebung, die Suite läuft dann gegen die Dev-Datenbank
|
|
* aus der .env — und `RefreshDatabase` leert sie (passiert am
|
|
* 15.09.2026, 3 GB Bestandskopie weg). Lieber laut abbrechen.
|
|
*/
|
|
protected function setUp(): void
|
|
{
|
|
parent::setUp();
|
|
|
|
$this->routeTopicLogChannelsToTestingLog();
|
|
}
|
|
|
|
/**
|
|
* Laravel ruft setUpTraits() direkt nach dem Bootstrap und VOR jedem
|
|
* Datenbank-Trait auf (RefreshDatabase, DatabaseTruncation, …). Der
|
|
* Guard muss hier stehen — in setUp() nach parent::setUp() käme er erst
|
|
* an, wenn RefreshDatabase die falsche Datenbank schon geleert hat
|
|
* (Umsetzungsaudit 25.09.2026, N22).
|
|
*/
|
|
protected function setUpTraits(): array
|
|
{
|
|
$this->assertTestDatabaseIsInMemorySqlite();
|
|
|
|
return parent::setUpTraits();
|
|
}
|
|
|
|
/**
|
|
* Prüft die Verbindung, die der DatabaseManager tatsächlich als Standard
|
|
* auflösen wird — ohne sie zu öffnen.
|
|
*/
|
|
protected function assertTestDatabaseIsInMemorySqlite(): void
|
|
{
|
|
$default = (string) DB::getDefaultConnection();
|
|
$connection = (array) config('database.connections.'.$default, []);
|
|
|
|
// Eine gesetzte `url` überschreibt Treiber und Datenbank erst beim
|
|
// Verbindungsaufbau — dann wären die geprüften Rohwerte wertlos
|
|
// (Umsetzungsaudit 02.10.2026, O02).
|
|
if (! empty($connection['url'])) {
|
|
throw new RuntimeException(sprintf(
|
|
'Tests laufen mit DB_URL-Override auf „%s“ — die Verbindung würde nicht SQLite :memory: sein. DB_URL für Tests leeren.',
|
|
$default,
|
|
));
|
|
}
|
|
|
|
if ($default !== 'sqlite' || ($connection['driver'] ?? null) !== 'sqlite' || ($connection['database'] ?? null) !== ':memory:') {
|
|
throw new RuntimeException(sprintf(
|
|
'Tests laufen gegen „%s“ (%s) statt SQLite :memory: — vermutlich liegt ein Config-Cache. `php artisan config:clear` und erneut starten.',
|
|
$default,
|
|
(string) ($connection['database'] ?? '?'),
|
|
));
|
|
}
|
|
}
|
|
|
|
/**
|
|
* Die Themen-Channels (`Log::channel('billing')` usw.) umgehen den
|
|
* Default-Channel aus phpunit.xml und würden sonst in die echten
|
|
* Themen-Dateien unter storage/logs schreiben. Alles, was die Suite loggt,
|
|
* gehört nach testing-YYYY-MM-DD.log. `admin_slow` bleibt außen vor, weil
|
|
* seine Tests den Pfad selbst setzen bzw. prüfen.
|
|
*/
|
|
private function routeTopicLogChannelsToTestingLog(): void
|
|
{
|
|
$testing = config('logging.channels.testing');
|
|
|
|
foreach (['billing', 'ki', 'monitoring', 'market', 'csp'] as $channel) {
|
|
config()->set("logging.channels.{$channel}", $testing);
|
|
}
|
|
}
|
|
}
|