Kevin Adametz
5dfd622141
Restliche Phase 4 aus dem Sicherheitsaudit 07.10.2026: - Sicherheitsseite: „Andere Geräte abmelden“ rotiert remember_token und beendet alle anderen Sessions, die aktuelle bleibt (nicht während einer Impersonation). - LoginIpThrottle: 20 Fehlversuche je IP in 15 Minuten über alle Konten. Gezählt über das Failed-Event, damit Livewire-Login und Fortifys POST /login denselben Zähler teilen; Erfolg setzt ihn nicht zurück. - Sperrmarke für Sessions in users.sessions_revoked_at_ms statt nur im Cache — übersteht cache:clear. Die alte Cache-Marke zählt übergangsweise mit und kann im nächsten Release entfallen. - Neue und geänderte Passwörter: mindestens 12 Zeichen, in Produktion zusätzlich uncompromised() (HIBP, k-Anonymität). Bestehende bleiben gültig. - Content-Security-Policy-Report-Only in Produktion; Meldungen über /csp-report nach storage/logs/csp-*.log, je Meldung höchstens einmal pro Stunde, ohne Query und tokenartige Pfadsegmente. Migration: users.sessions_revoked_at_ms (users hat FULLTEXT, 25 MB, Sekunden). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
69 lines
3.7 KiB
XML
69 lines
3.7 KiB
XML
<?xml version="1.0" encoding="UTF-8"?>
|
|
<phpunit xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
|
|
xsi:noNamespaceSchemaLocation="vendor/phpunit/phpunit/phpunit.xsd"
|
|
bootstrap="vendor/autoload.php"
|
|
colors="true"
|
|
>
|
|
<testsuites>
|
|
<testsuite name="Unit">
|
|
<directory>tests/Unit</directory>
|
|
</testsuite>
|
|
<testsuite name="Feature">
|
|
<directory>tests/Feature</directory>
|
|
</testsuite>
|
|
</testsuites>
|
|
<source>
|
|
<include>
|
|
<directory>app</directory>
|
|
</include>
|
|
</source>
|
|
<php>
|
|
<env name="APP_ENV" value="testing"/>
|
|
<env name="APP_URL" value="https://pressekonto.test"/>
|
|
<env name="APP_MAINTENANCE_DRIVER" value="file"/>
|
|
<env name="BCRYPT_ROUNDS" value="4"/>
|
|
<env name="CACHE_STORE" value="array"/>
|
|
<env name="LOG_CHANNEL" value="testing" force="true"/>
|
|
<env name="CLASSIFICATION_PROVIDER" value="deterministic" force="true"/>
|
|
<env name="CONTENT_SCORE_PROVIDER" value="deterministic" force="true"/>
|
|
<env name="OPENAI_API_KEY" value="" force="true"/>
|
|
<env name="DB_CONNECTION" value="sqlite" force="true"/>
|
|
<env name="DB_DATABASE" value=":memory:" force="true"/>
|
|
<server name="DB_CONNECTION" value="sqlite" force="true"/>
|
|
<server name="DB_DATABASE" value=":memory:" force="true"/>
|
|
<!-- DB_URL würde Treiber und Datenbank beim Verbindungsaufbau überschreiben (Audit 02.10.2026, O02). -->
|
|
<env name="DB_URL" value="" force="true"/>
|
|
<server name="DB_URL" value="" force="true"/>
|
|
<!-- Tests provozieren Fehler absichtlich — nie an das echte GlitchTip (Monitoring-Plan 1.1). -->
|
|
<env name="SENTRY_LARAVEL_DSN" value="" force="true"/>
|
|
<env name="SENTRY_DSN" value="" force="true"/>
|
|
<env name="SENTRY_BROWSER_DSN" value="" force="true"/>
|
|
<server name="SENTRY_LARAVEL_DSN" value="" force="true"/>
|
|
<server name="SENTRY_DSN" value="" force="true"/>
|
|
<server name="SENTRY_BROWSER_DSN" value="" force="true"/>
|
|
<!-- Betriebs-Alarme aus Tests nie als echte Push-Nachricht (ntfy) verschicken. -->
|
|
<env name="MONITORING_NTFY_URL" value="" force="true"/>
|
|
<env name="MONITORING_NTFY_TOPIC" value="" force="true"/>
|
|
<env name="MONITORING_NTFY_TOKEN" value="" force="true"/>
|
|
<server name="MONITORING_NTFY_URL" value="" force="true"/>
|
|
<server name="MONITORING_NTFY_TOPIC" value="" force="true"/>
|
|
<server name="MONITORING_NTFY_TOKEN" value="" force="true"/>
|
|
<!-- Proxy-Vertrauen, HSTS und CSP testen die Tests selbst. -->
|
|
<env name="TRUSTED_PROXIES" value="" force="true"/>
|
|
<env name="SECURITY_HSTS" value="false" force="true"/>
|
|
<env name="SECURITY_CSP_REPORT_ONLY" value="false" force="true"/>
|
|
<env name="MAIL_MAILER" value="array"/>
|
|
<env name="PULSE_ENABLED" value="false"/>
|
|
<env name="QUEUE_CONNECTION" value="sync"/>
|
|
<env name="SESSION_DRIVER" value="array"/>
|
|
<env name="TELESCOPE_ENABLED" value="false"/>
|
|
<env name="BASIC_AUTH_ENABLED" value="false"/>
|
|
<env name="AUTH_REQUIRE_STRONG_ADMIN" value="false" force="true"/>
|
|
<env name="BILLING_ENFORCE_BOOKING" value="false" force="true"/>
|
|
<!-- Bildkennzeichnung/Rechtstexte: die Suite läuft mit den Vorgaben aus .env.example; Tests, die ein Flag brauchen, setzen es per config()->set (Umsetzungsaudit 25.09.2026, Abschnitt 6). -->
|
|
<env name="IMAGE_RIGHTS_V2" value="false" force="true"/>
|
|
<env name="IMAGE_PRECHECK" value="false" force="true"/>
|
|
<env name="IMAGE_PRECHECK_STAGE" value="1" force="true"/>
|
|
<env name="LEGAL_ACCEPTANCE_GATE" value="false" force="true"/>
|
|
</php>
|
|
</phpunit>
|