clemens/kaffeekasse-saas
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

M8: Security-Headers, Rate-Limits und Audit-Log

Browse Source 
Erste drei Bausteine der Haertung:

- Security-Headers (X-Content-Type-Options, X-Frame-Options, Referrer-
  Policy, Permissions-Policy, HSTS bei HTTPS) laufen automatisch ueber
  app_send_security_headers() am Ende von app/bootstrap.php fuer jede
  dynamische Seite; landing.php war als einzige Seite ganz ohne PHP und
  bekam einen minimalen Bootstrap-Aufruf. Bewusst kein CSP, da die
  bestehenden Templates durchgaengig auf Inline-style-Attribute setzen.
- DB-gestuetzte Rate-Limits (neue Tabelle rate_limit_attempts) fuer
  Login (10/15min je E-Mail, 20/15min je IP), Registrierung (5/h je IP)
  und Passwort-Reset-Anfrage (5/h je E-Mail, 10/h je IP); bei
  ausgereiztem Reset-Limit erscheint dieselbe generische Meldung wie im
  Erfolgsfall, um kein Konto-Enumeration-Signal zu geben.
- Zentrales Audit-Log (neue Tabelle audit_log) fuer Mitgliederverwaltung,
  Zugangsvergabe/-entzug, Storno, Mandant-Einstellungen, Hinweise,
  CSV-Import, Jahresbonus-Verteilung und Live-Mailversand; sichtbar fuer
  Owner/Admin auf mandant-einstellungen.php.

Live getestet: Rate-Limit greift nach 10 Fehlversuchen, Audit-Log-Eintrag
mit korrekten Metadaten und Nutzernamen ueber einen isolierten Test-
Mandanten geprueft. Alle Regressionstests weiterhin gruen (26/26 Smoke,
104 Golden-Master-Assertions).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
This commit is contained in:
clemens
2026-07-15 18:04:14 +02:00
co-authored by Claude Sonnet 5
parent 7b517bcbf6
commit 54217d2acb
18 changed files with 375 additions and 55 deletions
Download Patch File Download Diff File Expand all files Collapse all files
register.php
+24 -19
View File
@@ -2,6 +2,7 @@
require_once __DIR__ . '/functions.php';
require_once __DIR__ . '/app/saas-mail.php';
require_once __DIR__ . '/app/rate-limit.php';
$pdo = app_db_pdo();
$errors = [];
@@ -15,28 +16,32 @@ $values = [
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
app_require_csrf();
$result = saas_register_tenant_owner($pdo, [
'tenant_name' => $values['tenant_name'],
'tenant_slug' => $values['tenant_slug'],
'display_name' => $values['display_name'],
'email' => $values['email'],
'password' => (string)($_POST['password'] ?? ''),
'password_confirm' => (string)($_POST['password_confirm'] ?? ''),
]);
if (!app_rate_limit_check($pdo, 'register_ip:' . app_client_ip(), 5, 3600)) {
$errors = ['Zu viele Registrierungsversuche. Bitte versuche es später erneut.'];
} else {
$result = saas_register_tenant_owner($pdo, [
'tenant_name' => $values['tenant_name'],
'tenant_slug' => $values['tenant_slug'],
'display_name' => $values['display_name'],
'email' => $values['email'],
'password' => (string)($_POST['password'] ?? ''),
'password_confirm' => (string)($_POST['password_confirm'] ?? ''),
]);
if ($result['ok']) {
if (!empty($result['email_verification_token'])) {
saas_send_email_verification_mail($values['email'], (string)$result['email_verification_token']);
if ($result['ok']) {
if (!empty($result['email_verification_token'])) {
saas_send_email_verification_mail($values['email'], (string)$result['email_verification_token']);
}
saas_session_login($result['identity']);
if (saas_should_show_auth_links() && !empty($result['email_verification_token'])) {
$_SESSION['saas_dev_email_verification_token'] = (string)$result['email_verification_token'];
}
header('Location: konto.php?registered=1');
exit;
}
saas_session_login($result['identity']);
if (saas_should_show_auth_links() && !empty($result['email_verification_token'])) {
$_SESSION['saas_dev_email_verification_token'] = (string)$result['email_verification_token'];
}
header('Location: konto.php?registered=1');
exit;
$errors = $result['errors'];
}
$errors = $result['errors'];
}
?>