fix(security, core): Auth-Pflicht für Ingest-APIs, 500er-Ursachen beheben, Agenten-Workflow
Sicherheit
- install_db.php war ohne Authentifizierung erreichbar und setzte bei jedem
Aufruf das Admin-Passwort auf einen fest im Code stehenden Wert zurück.
Jetzt Auth-Pflicht; ein Konto wird nur bei leerer Benutzertabelle angelegt.
- Stored XSS im Bugtracker-Detail-Modal: Titel, Beschreibung, Fehlermeldung,
Stacktrace und Kommentare gingen ungefiltert durch innerHTML.
- report.php, projects.php und das Veröffentlichen von Releases verlangen jetzt
zwingend ein Token. Publish war zuvor völlig ungeschützt.
- CSRF-Token in allen Formularen, Session-Regenerierung nach Login,
Drosselung fehlgeschlagener Anmeldeversuche.
- Zugangsdaten aus der Versionskontrolle entfernt (Serverdaten.txt,
config.php, .htpasswd, deploy_config.json). Historie enthält sie weiterhin,
Rotation erforderlich (siehe docs/UPGRADE.md).
- Token-Validierung nur noch über SHA-256-Hash; expires_at wird ausgewertet.
Behobene 500er
- Audit::log() war in index.php weder eingebunden noch importiert. Jeder
Klick auf "Aktivierung freigeben" endete in einem Fatal Error.
- Derselbe benannte PDO-Platzhalter mehrfach je Statement (:id in
revokeToken/deleteToken, :q siebenfach in der Volltextsuche). Bei
EMULATE_PREPARES=false ist das nicht zulässig und warf HY093.
- Migration 005 nutzte dynamisches SQL, dessen Semikolons in String-Literalen
vom alten explode(';')-Installer als Statement-Ende gelesen wurden. Sie
schlug still fehl, wodurch push_id/target_agent/tags dauerhaft fehlten.
- Monitor-Umbenennung ohne Transaktion, verschachtelte Transaktionen im
RateLimiter.
Funktionale Korrekturen
- Der Watchdog-Evaluator fehlte vollständig: Monitor-Zustände änderten sich nur
beim Eintreffen eines Heartbeats, ein ausgefallenes System blieb dauerhaft
"up". Erster Lauf auf dem Produktivsystem: 7 von 10 Monitoren waren
tatsächlich seit über einem Tag nicht erreichbar.
- Das Feld "os" fehlte im Monitor-Dialog, wurde aber gespeichert und löschte
damit bei jedem Speichern das Betriebssystem.
- Der Resolve-Dialog existierte im HTML nicht; der Button war funktionslos.
- Versionsvergleich erfolgte lexikografisch, wodurch 1.9.0 als neuer galt
als 1.10.0.
- Schreiboperationen meldeten Erfolg auch für nicht existierende IDs.
- Post/Redirect/Get gegen doppelte Einträge beim Neuladen.
Neue Struktur
- src/bootstrap.php mit PSR-4-Autoloader ersetzt die require-Ketten.
- Core: Config, Http, Csrf, ApiAuth, Logger, Migrator, ErrorReporter.
- Migrator mit zeichenweisem SQL-Parser, dc_migrations und Baseline-Verfahren,
damit bestehende Installationen keine Beispieldaten zurückbekommen.
Agenten-Workflow
- Claim/Lease: Items werden exklusiv übernommen, damit nicht zwei Agenten am
selben Problem arbeiten. action=next holt und reserviert in einem Zug.
- Idempotenz über client_ref, Deduplizierung auch für Feature Requests,
Erkennung von Regressionen, automatische Eskalation des Schweregrads.
- Strukturierter Code-Kontext (repo_url, commit_sha, file_path, line_no).
- Delta-Abfragen über updated_since, Pagination, Bulk-Update.
- Beim Veröffentlichen eines Releases schließen sich Items mit passendem
resolved_in_build selbst.
- Ausgehende Webhooks mit HMAC-Signatur, /api/health, /api/openapi.json.
- Unbehandelte Fehler meldet die Plattform in ihren eigenen Bugtracker.
WebUI
- Serverseitige Filterung mit Pagination statt Rendern aller Datensätze.
- Migrations-Schranke, Evaluator-Warnung, Übersicht aktiver Agenten.
Zeitstempel liegen in der Datenbank durchgängig in UTC und werden für die
Anzeige in die App-Zeitzone umgerechnet.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Deploymentcenter Bot
co-authored by
Claude Opus 5
Claude Opus 5
parent
a21536f495
commit
e7fbc85db4
@@ -0,0 +1,11 @@
|
||||
# Zweite Verteidigungslinie: kein Direktzugriff auf Konfiguration/Secrets,
|
||||
# auch wenn mod_rewrite oder AllowOverride im Root ausfaellt.
|
||||
|
||||
<IfModule mod_authz_core.c>
|
||||
Require all denied
|
||||
</IfModule>
|
||||
|
||||
<IfModule !mod_authz_core.c>
|
||||
Order allow,deny
|
||||
Deny from all
|
||||
</IfModule>
|
||||
@@ -1 +0,0 @@
|
||||
deploy:$apr1$c815$WbSj8VpE1zP2Y.0Z7G3h/1
|
||||
@@ -0,0 +1,36 @@
|
||||
# config/
|
||||
|
||||
Dieses Verzeichnis enthält Zugangsdaten und wird **nicht** versioniert.
|
||||
|
||||
| Datei | Zweck | In Git? |
|
||||
|---|---|---|
|
||||
| `config.example.php` | Vorlage mit allen Schlüsseln | ja |
|
||||
| `config.php` | Aktive Konfiguration dieser Instanz | **nein** |
|
||||
| `.htpasswd` | Apache Basic-Auth vor der Plattform | **nein** |
|
||||
|
||||
## Einrichtung
|
||||
|
||||
```bash
|
||||
cp config/config.example.php config/config.php
|
||||
```
|
||||
|
||||
Danach `db.*` sowie die drei Schlüssel unter `security` ausfüllen. Schlüssel erzeugen:
|
||||
|
||||
```bash
|
||||
openssl rand -hex 32
|
||||
```
|
||||
|
||||
## Umgebungsvariablen
|
||||
|
||||
Jeder Wert lässt sich über eine Umgebungsvariable überschreiben; diese hat Vorrang
|
||||
vor dem Wert in `config.php`:
|
||||
|
||||
`DC_APP_URL`, `DC_DEBUG`, `DC_DB_HOST`, `DC_DB_NAME`, `DC_DB_USER`, `DC_DB_PASS`,
|
||||
`DC_SHARED_KEY`, `DC_WEBHOOK_KEY`, `DC_LICENSE_SIGNING_KEY`
|
||||
|
||||
## Schutz im Webroot
|
||||
|
||||
`/.htaccess` blockt Zugriffe auf `config/`, `src/`, `sql/` und `scripts/`.
|
||||
Zusätzlich liegt in diesem Verzeichnis eine eigene `.htaccess` als zweite
|
||||
Verteidigungslinie, falls `mod_rewrite` oder `AllowOverride` einmal ausfallen.
|
||||
Ideal wäre, `config/` ganz aus dem Webroot zu verschieben.
|
||||
@@ -0,0 +1,61 @@
|
||||
<?php
|
||||
/**
|
||||
* Deploymentcenter Configuration – VORLAGE
|
||||
*
|
||||
* Diese Datei nach config/config.php kopieren und ausfüllen.
|
||||
* config/config.php ist per .gitignore vom Repository ausgeschlossen.
|
||||
*
|
||||
* Jeder Wert kann alternativ über eine Umgebungsvariable gesetzt werden
|
||||
* (siehe dc_env() unten). Die Umgebungsvariable hat immer Vorrang.
|
||||
*/
|
||||
|
||||
if (!function_exists('dc_env')) {
|
||||
/**
|
||||
* Liest eine Umgebungsvariable, fällt sonst auf den Standardwert zurück.
|
||||
*/
|
||||
function dc_env(string $key, $default = null)
|
||||
{
|
||||
$val = getenv($key);
|
||||
if ($val === false || $val === '') {
|
||||
return $default;
|
||||
}
|
||||
return $val;
|
||||
}
|
||||
}
|
||||
|
||||
return [
|
||||
'app' => [
|
||||
'name' => 'Deploymentcenter',
|
||||
'version' => '2.0.0',
|
||||
'url' => dc_env('DC_APP_URL', 'https://dc.example.com'),
|
||||
'timezone' => 'Europe/Berlin',
|
||||
// Bei true werden Exception-Texte in API-Antworten ausgegeben.
|
||||
// Auf Produktivsystemen zwingend false lassen.
|
||||
'debug' => (bool)dc_env('DC_DEBUG', false),
|
||||
],
|
||||
'db' => [
|
||||
'host' => dc_env('DC_DB_HOST', 'localhost'),
|
||||
'dbname' => dc_env('DC_DB_NAME', 'deploymentcenter'),
|
||||
'username' => dc_env('DC_DB_USER', 'root'),
|
||||
'password' => dc_env('DC_DB_PASS', ''),
|
||||
'charset' => 'utf8mb4',
|
||||
],
|
||||
'security' => [
|
||||
// Master-Key für Server-zu-Server-Aufrufe (Evaluator-Cron, Deactivate, Migration).
|
||||
// Mit `openssl rand -hex 32` erzeugen.
|
||||
'shared_key' => dc_env('DC_SHARED_KEY', ''),
|
||||
'session_name' => 'DC_SESSION_ID',
|
||||
// Signaturschlüssel für ausgehende Webhooks (HMAC-SHA256).
|
||||
'webhook_key' => dc_env('DC_WEBHOOK_KEY', ''),
|
||||
// Signaturschlüssel für Offline-Lizenzdateien (.lic).
|
||||
'license_key' => dc_env('DC_LICENSE_SIGNING_KEY', ''),
|
||||
],
|
||||
'bugtracker' => [
|
||||
// Projekt-Slug, unter dem das Deploymentcenter eigene Fehler meldet.
|
||||
'self_project' => 'deploymentcenter',
|
||||
// Reports pro IP und Minute am öffentlichen Ingest-Endpunkt.
|
||||
'report_rate' => 60,
|
||||
// Wie lange ein Agent ein Item exklusiv beansprucht (Minuten).
|
||||
'lease_minutes' => 30,
|
||||
],
|
||||
];
|
||||
@@ -1,22 +0,0 @@
|
||||
<?php
|
||||
// Deploymentcenter Configuration
|
||||
|
||||
return [
|
||||
'app' => [
|
||||
'name' => 'Deploymentcenter',
|
||||
'version' => '1.0.0',
|
||||
'url' => 'https://dc.mhdf.de',
|
||||
'timezone' => 'Europe/Berlin',
|
||||
],
|
||||
'db' => [
|
||||
'host' => 'lznk.your-database.de',
|
||||
'dbname' => 'bergisnu_db0',
|
||||
'username' => 'bergisnu_0',
|
||||
'password' => 'r4[V?:)C~+Sh',
|
||||
'charset' => 'utf8mb4',
|
||||
],
|
||||
'security' => [
|
||||
'shared_key' => 'DC_MASTER_SECURE_TOKEN_2026_x98f',
|
||||
'session_name' => 'DC_SESSION_ID',
|
||||
]
|
||||
];
|
||||
Reference in New Issue
Block a user