Kevin Adametz
89550dac99
- Security-Header-Middleware (nosniff, X-Frame-Options, Referrer-/ Permissions-Policy) global, proxy-unabhaengig; CSP bewusst separat. - Firmenlogo-Upload im Create-Formular durch den ImageService-Pfad ersetzt (Mime-Whitelist ohne SVG, Re-Encode, UUID-Name) - vorher rohe store()-Ablage ohne Server-Validierung (SVG/XSS moeglich). - Rate-Limits ergaenzt: Passwort-Reset (3/E-Mail + 15/IP pro Std.), Registrierung (10/IP pro Std.), throttle auf magic-login- und pm-vorschau-Consume-Routen (Defense-in-Depth). - EnsureUserIsCustomer als persistente Livewire-Middleware (symmetrisch zum Admin-Gate, greift auch bei Folge-Requests). Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
35 lines
1.1 KiB
PHP
35 lines
1.1 KiB
PHP
<?php
|
|
|
|
namespace App\Http\Middleware;
|
|
|
|
use Closure;
|
|
use Illuminate\Http\Request;
|
|
use Symfony\Component\HttpFoundation\Response;
|
|
|
|
/**
|
|
* Applikationsseitige Security-Header (R6.2) — bewusst unabhängig vom
|
|
* Reverse-Proxy gesetzt, damit der Schutz auch bei Proxy-Wechsel bleibt.
|
|
* Bereits vorhandene Header (z. B. vom Proxy) werden nicht überschrieben.
|
|
* CSP fehlt absichtlich: Livewire/Alpine/Vite brauchen eine eigene
|
|
* Inline-Script-Strategie — separat einführen, nicht nebenbei.
|
|
*/
|
|
class SecurityHeaders
|
|
{
|
|
public function handle(Request $request, Closure $next): Response
|
|
{
|
|
$response = $next($request);
|
|
|
|
foreach ([
|
|
'X-Content-Type-Options' => 'nosniff',
|
|
'X-Frame-Options' => 'SAMEORIGIN',
|
|
'Referrer-Policy' => 'strict-origin-when-cross-origin',
|
|
'Permissions-Policy' => 'camera=(), microphone=(), geolocation=()',
|
|
] as $header => $value) {
|
|
if (! $response->headers->has($header)) {
|
|
$response->headers->set($header, $value);
|
|
}
|
|
}
|
|
|
|
return $response;
|
|
}
|
|
}
|