Kevin Adametz
c751d4e9d2
Restliche Phase 4 aus dem Sicherheitsaudit 07.10.2026: - Sicherheitsseite: „Andere Geräte abmelden“ rotiert remember_token und beendet alle anderen Sessions, die aktuelle bleibt (nicht während einer Impersonation). - LoginIpThrottle: 20 Fehlversuche je IP in 15 Minuten über alle Konten. Gezählt über das Failed-Event, damit Livewire-Login und Fortifys POST /login denselben Zähler teilen; Erfolg setzt ihn nicht zurück. - Sperrmarke für Sessions in users.sessions_revoked_at_ms statt nur im Cache — übersteht cache:clear. Die alte Cache-Marke zählt übergangsweise mit und kann im nächsten Release entfallen. - Neue und geänderte Passwörter: mindestens 12 Zeichen, in Produktion zusätzlich uncompromised() (HIBP, k-Anonymität). Bestehende bleiben gültig. - Content-Security-Policy-Report-Only in Produktion; Meldungen über /csp-report nach storage/logs/csp-*.log, je Meldung höchstens einmal pro Stunde, ohne Query und tokenartige Pfadsegmente. Migration: users.sessions_revoked_at_ms (users hat FULLTEXT, 25 MB, Sekunden). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
66 lines
1.8 KiB
PHP
66 lines
1.8 KiB
PHP
<?php
|
|
|
|
use App\Models\User;
|
|
use Illuminate\Auth\Notifications\ResetPassword;
|
|
use Illuminate\Support\Facades\Notification;
|
|
use Livewire\Livewire;
|
|
|
|
test('reset password link screen can be rendered', function () {
|
|
$response = $this->get('/forgot-password');
|
|
|
|
$response->assertStatus(200);
|
|
});
|
|
|
|
test('reset password link can be requested', function () {
|
|
Notification::fake();
|
|
|
|
$user = User::factory()->create();
|
|
|
|
Livewire::test('auth.forgot-password')
|
|
->set('email', $user->email)
|
|
->call('sendPasswordResetLink');
|
|
|
|
Notification::assertSentTo($user, ResetPassword::class);
|
|
});
|
|
|
|
test('reset password screen can be rendered', function () {
|
|
Notification::fake();
|
|
|
|
$user = User::factory()->create();
|
|
|
|
Livewire::test('auth.forgot-password')
|
|
->set('email', $user->email)
|
|
->call('sendPasswordResetLink');
|
|
|
|
Notification::assertSentTo($user, ResetPassword::class, function ($notification) {
|
|
$response = $this->get('/reset-password/'.$notification->token);
|
|
|
|
$response->assertStatus(200);
|
|
|
|
return true;
|
|
});
|
|
});
|
|
|
|
test('password can be reset with valid token', function () {
|
|
Notification::fake();
|
|
|
|
$user = User::factory()->create();
|
|
|
|
Livewire::test('auth.forgot-password')
|
|
->set('email', $user->email)
|
|
->call('sendPasswordResetLink');
|
|
|
|
Notification::assertSentTo($user, ResetPassword::class, function ($notification) use ($user) {
|
|
$response = Livewire::test('auth.reset-password', ['token' => $notification->token])
|
|
->set('email', $user->email)
|
|
->set('password', 'sicheres-passwort-2026')
|
|
->set('password_confirmation', 'sicheres-passwort-2026')
|
|
->call('resetPassword');
|
|
|
|
$response
|
|
->assertHasNoErrors()
|
|
->assertRedirect(route('login', absolute: false));
|
|
|
|
return true;
|
|
});
|
|
});
|