lgcosta
6e0ec29888
1. /api/render: cap de 512 KiB na entrada (amplificação ~2× medida); decodeJSON agora amarra http.MaxBytesReader ao ResponseWriter (413 real ao cliente em todos os endpoints JSON) 2. Login com rate-limit por IP em memória (5 falhas/15 min → 429, acerto reseta, RemoteAddr puro — X-F-F não é confiável) + log de falha com IP 3. Upload: MaxBytesReader no corpo inteiro (64 MiB + 64 KiB) antes do parse do multipart; quota global de 2 GiB (MaxFilesTotalBytes) em AddFile 4. sanitizeRich neutraliza href/src com javascript:/vbscript:/data: (case/whitespace-insensível); link legítimo preservado 5. Cookie Secure passa a ser configuração explícita (NOTES_SECURE_COOKIE) — X-Forwarded-Proto é spoofável; documentado em .env.example e compose 6. Cookie agora carrega id de sessão opaco (crypto/rand 32B, TTL 30d, revogação no logout e no restart); token mestre só vale via Bearer — furo pego pelo próprio teste novo (token no cookie era aceito) Testes: rate-limit, revogação, canais separados, render 413, upload cap sw v16
11 lines
475 B
Bash
11 lines
475 B
Bash
# Copie para .env e defina o seu token: cp .env.example .env
|
|
# Gere um token forte: openssl rand -hex 24
|
|
NOTES_TOKEN=troque-este-token
|
|
# Porta do host (opcional):
|
|
# NOTAS_PORT=9090
|
|
# Marcar o cookie de sessão como Secure — ative quando o acesso é SEMPRE por
|
|
# HTTPS (proxy reverso TLS); nunca se decide isso pelo header do cliente:
|
|
# NOTES_SECURE_COOKIE=true
|
|
# Podman rootless: use 0:0 (mapeia para o seu usuário no host, escreve em ./data sem chown):
|
|
# NOTAS_USER=0:0
|