Kevin Adametz
05cf53e17d
- Fortifys sieben 2FA-Verwaltungsrouten antworten mit 404 (Middleware über fortify.middleware); die Sicherheitsseite verlangt weiter den zweiten Faktor (U09) - PressReleasePolicy/CompanyPolicy::before() bejahen nur aktive Super-Admins (7.2) - API-Update prüft bei Portalwechsel die bestehende Kategorie gegen das neue Portal (U10) - Aggregation: Zeitbudget 480 s unter dem Lock von 600 s, Marke nur unter Zeilensperre vom erwarteten Stand aus, sonst Fehler-Exit (U13) - Newsletter-Bereinigungsmigration behält je Paar die sent-Zeile (U08) - E-Mail-Wechsel stößt den Rechte-Sync sofort an; company-memberships:audit --classify zeigt vorher die Kandidaten und begrenzt mit --before (7.1) - Detailseite wählt bei Slug-Kollision wie der Melde-Resolver (7.5) Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
46 lines
1.4 KiB
PHP
46 lines
1.4 KiB
PHP
<?php
|
||
|
||
namespace App\Http\Middleware;
|
||
|
||
use Closure;
|
||
use Illuminate\Http\Request;
|
||
use Symfony\Component\HttpFoundation\Response;
|
||
|
||
/**
|
||
* Sperrt die Fortify-Routen zur 2FA-Verwaltung, die das Projekt nicht nutzt
|
||
* (Audit U09, Entscheidung E3/E8).
|
||
*
|
||
* Die Sicherheitsseite (customer/security) ruft die Fortify-Actions direkt
|
||
* auf und verlangt vor Deaktivierung und Recovery-Codes einen TOTP- oder
|
||
* Recovery-Code. Fortify registriert daneben eigene Routen für dieselben
|
||
* Aktionen, die nur `password.confirm` verlangen – eine bis zu drei Stunden
|
||
* alte Passwortbestätigung hätte den zweiten Faktor ersetzt. Fortify kennt
|
||
* kein Abschalten einzelner Routen (nur `ignoreRoutes()` für alle), deshalb
|
||
* hängt diese Middleware über `fortify.middleware` an allen Fortify-Routen
|
||
* und beantwortet die ungenutzten mit 404. Challenge und Passwortwechsel
|
||
* bleiben erreichbar.
|
||
*/
|
||
class BlockUnusedFortifyRoutes
|
||
{
|
||
/**
|
||
* @var list<string>
|
||
*/
|
||
public const BLOCKED_ROUTES = [
|
||
'two-factor.enable',
|
||
'two-factor.confirm',
|
||
'two-factor.disable',
|
||
'two-factor.qr-code',
|
||
'two-factor.secret-key',
|
||
'two-factor.recovery-codes',
|
||
'two-factor.regenerate-recovery-codes',
|
||
];
|
||
|
||
public function handle(Request $request, Closure $next): Response
|
||
{
|
||
if (in_array($request->route()?->getName(), self::BLOCKED_ROUTES, true)) {
|
||
abort(404);
|
||
}
|
||
|
||
return $next($request);
|
||
}
|
||
}
|