fix(security): corrige achados da varredura — render, brute-force, upload, WYSIWYG, cookie, sessões

1. /api/render: cap de 512 KiB na entrada (amplificação ~2× medida);
   decodeJSON agora amarra http.MaxBytesReader ao ResponseWriter (413
   real ao cliente em todos os endpoints JSON)
2. Login com rate-limit por IP em memória (5 falhas/15 min → 429, acerto
   reseta, RemoteAddr puro — X-F-F não é confiável) + log de falha com IP
3. Upload: MaxBytesReader no corpo inteiro (64 MiB + 64 KiB) antes do
   parse do multipart; quota global de 2 GiB (MaxFilesTotalBytes) em AddFile
4. sanitizeRich neutraliza href/src com javascript:/vbscript:/data:
   (case/whitespace-insensível); link legítimo preservado
5. Cookie Secure passa a ser configuração explícita (NOTES_SECURE_COOKIE)
   — X-Forwarded-Proto é spoofável; documentado em .env.example e compose
6. Cookie agora carrega id de sessão opaco (crypto/rand 32B, TTL 30d,
   revogação no logout e no restart); token mestre só vale via Bearer —
   furo pego pelo próprio teste novo (token no cookie era aceito)
   Testes: rate-limit, revogação, canais separados, render 413, upload cap
   sw v16

internal/api/files.go

@@ -2,6 +2,8 @@ package api
 
 import (
 	"net/http"
+
+	"github.com/lgcosta/notas-online/internal/store"
 )
 
 // ---------------------------------------------------------------------------
@@ -9,10 +11,15 @@ import (
 // ---------------------------------------------------------------------------
 
 // handleFileUpload recebe multipart/form-data com campo "file" e parâmetros
-// opcionais folder_id e note_id.
+// opcionais folder_id e note_id. O corpo inteiro é limitado a MaxFileBytes +
+// folga de multipart (64 MiB + 64 KiB): sem o cap, o parser do multipart
+// grava o corpo inteiro em temporários antes de qualquer checagem.
+const maxUploadBody = store.MaxFileBytes + 64<<10
+
 func (s *Server) handleFileUpload(w http.ResponseWriter, r *http.Request) {
+	r.Body = http.MaxBytesReader(w, r.Body, maxUploadBody)
 	if err := r.ParseMultipartForm(8 << 20); err != nil {
-		writeError(w, http.StatusBadRequest, "multipart inválido: "+err.Error())
+		writeError(w, http.StatusBadRequest, "multipart inválido ou excede limite: "+err.Error())
 		return
 	}
 	defer r.MultipartForm.RemoveAll()
@@ -65,7 +72,7 @@ type fileMoveInput struct {
 func (s *Server) handleFileMove(w http.ResponseWriter, r *http.Request) {
 	var in fileMoveInput
 	if r.ContentLength > 0 {
-		if err := decodeJSON(r, &in, 1<<20); err != nil {
+		if err := decodeJSON(w, r, &in, 1<<20); err != nil {
 			writeError(w, http.StatusBadRequest, "corpo JSON inválido")
 			return
 		}
@@ -89,7 +96,7 @@ type folderInput struct {
 
 func (s *Server) handleFolderCreate(w http.ResponseWriter, r *http.Request) {
 	var in folderInput
-	if err := decodeJSON(r, &in, 1<<20); err != nil {
+	if err := decodeJSON(w, r, &in, 1<<20); err != nil {
 		writeError(w, http.StatusBadRequest, "corpo JSON inválido")
 		return
 	}
@@ -107,7 +114,7 @@ func (s *Server) handleFolderCreate(w http.ResponseWriter, r *http.Request) {
 
 func (s *Server) handleFolderUpdate(w http.ResponseWriter, r *http.Request) {
 	var in folderInput
-	if err := decodeJSON(r, &in, 1<<20); err != nil {
+	if err := decodeJSON(w, r, &in, 1<<20); err != nil {
 		writeError(w, http.StatusBadRequest, "corpo JSON inválido")
 		return
 	}