Kevin Adametz
d884eb7482
- GlitchTip über die Sentry-SDKs; Datenschutzfilter (nur User-ID, keine
Request-Bodys, Tokens aus URL/Query/Referer, E-Mails aus Meldungen).
Browser-SDK erst beim ersten Fehler nachgeladen.
- ReportErrorSignals: tote interne Links (404 mit eigenem Referrer), 403/429
für Angemeldete, 419 als gedrosselte Warnung.
- /health (Bearer-Token): DB, Cache, Queue-Rückstau, Scheduler-Herzschlag,
Plattenplatz → 200/503; Scheduler und Plattenplatz auch im Systemstatus.
- OperationalAlert zusätzlich per ntfy (JSON-POST), unabhängig von der Mail.
- Verlauf: login_failed (Grund unbekannt/kein Passwort/falsch),
login_lockout, two_factor_failed; IP nur als gekürzter HMAC.
- Umami: Kundenbereich mit eigenem Schalter und identify('user-<id>'),
nie im Admin/bei Impersonation; Query-Filter auch auf den Webseiten
(signierte Links gingen bisher an Umami).
- queue:prune-failed nach 30 Tagen.
- Versionsnummer: config('app.version') aus APP_VERSION oder Datei RELEASE
(git describe --tags), in GlitchTip, /health, Systemstatus, artisan about.
Plan: dev/betrieb/monitoring-plan.md (Entscheidungen M1–M9).
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
79 lines
2.6 KiB
PHP
79 lines
2.6 KiB
PHP
<?php
|
|
|
|
namespace App\Http\Middleware;
|
|
|
|
use Closure;
|
|
use Illuminate\Http\Request;
|
|
use Symfony\Component\HttpFoundation\Response;
|
|
|
|
class BasicAuthMiddleware
|
|
{
|
|
/**
|
|
* Handle an incoming request.
|
|
*
|
|
* @param Closure(Request): (Response) $next
|
|
*/
|
|
public function handle(Request $request, Closure $next): Response
|
|
{
|
|
// Gate global deaktiviert (z. B. Produktion/Tests)
|
|
if (! config('auth.basic.enabled', true)) {
|
|
return $next($request);
|
|
}
|
|
|
|
// Skip Basic Auth für Livewire-Requests komplett
|
|
// Diese sind bereits durch Laravel Session/CSRF geschützt
|
|
$path = $request->path();
|
|
|
|
if (
|
|
str_starts_with($path, 'livewire/') ||
|
|
str_contains($path, '/livewire/') ||
|
|
$request->is('livewire/*') ||
|
|
$request->is('*/livewire/*')
|
|
) {
|
|
return $next($request);
|
|
}
|
|
|
|
// Skip Basic Auth für Flux UI Assets (flux.js, flux.min.js, editor.js, etc.)
|
|
if (str_starts_with($path, 'flux/')) {
|
|
return $next($request);
|
|
}
|
|
|
|
// Skip Basic Auth für API und Short-Links; API-Zugriff wird per Sanctum geschützt.
|
|
if ($request->is('api/*') || $request->is('_cabinet/*')) {
|
|
return $next($request);
|
|
}
|
|
|
|
// Skip Basic Auth für den Stripe-Webhook — Stripe sendet keine
|
|
// Zugangsdaten mit; der Endpoint ist durch die Signaturprüfung
|
|
// (STRIPE_WEBHOOK_SECRET) geschützt.
|
|
if ($request->is('stripe/webhook')) {
|
|
return $next($request);
|
|
}
|
|
|
|
// Skip Basic Auth für den Health-Endpunkt — er hat ein eigenes
|
|
// Bearer-Token, und ein Monitor kann nicht beides im
|
|
// Authorization-Header schicken (Monitoring-Plan 1.5).
|
|
if ($request->is('health')) {
|
|
return $next($request);
|
|
}
|
|
|
|
// Zugangsdaten aus der Config (gespeist aus .env). Ist nichts
|
|
// konfiguriert, wird der Gate nicht erzwungen.
|
|
$user = config('auth.basic.user');
|
|
$pass = config('auth.basic.password');
|
|
|
|
if (($user === null || $user === '') && ($pass === null || $pass === '')) {
|
|
return $next($request);
|
|
}
|
|
|
|
// Timing-sicherer Vergleich beider Felder (kein Short-Circuit).
|
|
$userValid = hash_equals((string) $user, (string) $request->getUser());
|
|
$passValid = hash_equals((string) $pass, (string) $request->getPassword());
|
|
|
|
if (! $userValid || ! $passValid) {
|
|
return response('Unauthorized.', 401, ['WWW-Authenticate' => 'Basic']);
|
|
}
|
|
|
|
return $next($request);
|
|
}
|
|
}
|