clemens/kaffeekasse-saas
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

CSRF-Schutz für letzte Einträge ergänzen

Browse Source 
- Löschaktionen in letzteneintraege.php mit CSRF-Token absichern
- POST ohne Token für Einzahlungen und Strich-Einträge blockieren
- M2- und Sicherheitsdokumentation zum CSRF-Rollout aktualisieren
This commit is contained in:
clemens
2026-07-12 09:45:35 +02:00
parent 981c770ce5
commit e5fd47ecf6
4 changed files with 15 additions and 9 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/m2-technical-foundation.md
+8 -6
View File
@@ -47,10 +47,10 @@ Erste Legacy-POST-Seiten sind opt-in abgesichert:
- `index.php`: eigene Web-Striche eintragen.
- `stricheintragen.php`: Sammelerfassung von Strichen.
- `einzahlung.php`: Sammelerfassung von Einzahlungen.
- `letzteneintraege.php`: letzte Einzahlungen und Strich-Eintraege loeschen.
Noch offen:
- Korrektur-/Loeschflows: `letzteneintraege.php`.
- Uploads: `csvupload.php`.
- Spezialprozesse: `mailversenden.php`, `jahresauswertung.php`.
@@ -111,6 +111,10 @@ Die Skripte erwarten die bekannten Dev-Umgebungsvariablen `DB_HOST`, `DB_NAME`,
- CSRF positive Tests fuer Buchungsflows: gueltige Token funktionieren fuer
eigene Web-Striche, Sammelstriche und Sammeleinzahlungen. Die temporaeren
Testbuchungen wurden wieder entfernt.
- CSRF negative Tests fuer Korrektur-/Loeschflows: `letzteneintraege.php`
liefert bei POST ohne Token HTTP 419.
- CSRF positive Tests fuer Korrektur-/Loeschflows: gueltige Token funktionieren
fuer das Loeschen temporaerer Einzahlungs- und Strich-Testeintraege.
- Golden Master weiterhin gruen mit 104 Assertions.
- HTTP-Smoke weiterhin gruen mit 14 sicheren Seiten.
@@ -124,10 +128,8 @@ Die Skripte erwarten die bekannten Dev-Umgebungsvariablen `DB_HOST`, `DB_NAME`,
## Naechste Schritte
1. Korrektur- und Loesch-POST-Seiten einzeln mit `app_csrf_field()` und
`app_require_csrf()` absichern.
2. CSV-Upload gesondert absichern und spaeter Uploads ausserhalb des Webroots
1. CSV-Upload gesondert absichern und spaeter Uploads ausserhalb des Webroots
verlegen.
3. Eine duenne View-/Layout-Struktur vorbereiten, ohne Header/Footer-Markup
2. Eine duenne View-/Layout-Struktur vorbereiten, ohne Header/Footer-Markup
sofort zu verschieben.
4. Danach M3 starten: Tenants, User, Registrierung, Login und Rollen.
3. Danach M3 starten: Tenants, User, Registrierung, Login und Rollen.