lgcosta
6e0ec29888
1. /api/render: cap de 512 KiB na entrada (amplificação ~2× medida); decodeJSON agora amarra http.MaxBytesReader ao ResponseWriter (413 real ao cliente em todos os endpoints JSON) 2. Login com rate-limit por IP em memória (5 falhas/15 min → 429, acerto reseta, RemoteAddr puro — X-F-F não é confiável) + log de falha com IP 3. Upload: MaxBytesReader no corpo inteiro (64 MiB + 64 KiB) antes do parse do multipart; quota global de 2 GiB (MaxFilesTotalBytes) em AddFile 4. sanitizeRich neutraliza href/src com javascript:/vbscript:/data: (case/whitespace-insensível); link legítimo preservado 5. Cookie Secure passa a ser configuração explícita (NOTES_SECURE_COOKIE) — X-Forwarded-Proto é spoofável; documentado em .env.example e compose 6. Cookie agora carrega id de sessão opaco (crypto/rand 32B, TTL 30d, revogação no logout e no restart); token mestre só vale via Bearer — furo pego pelo próprio teste novo (token no cookie era aceito) Testes: rate-limit, revogação, canais separados, render 413, upload cap sw v16
25 lines
998 B
YAML
25 lines
998 B
YAML
services:
|
|
notas:
|
|
build: .
|
|
image: notas-online:latest
|
|
container_name: notas
|
|
ports:
|
|
# Troque a porta do host com NOTAS_PORT (ex.: NOTAS_PORT=9090 docker compose up -d)
|
|
- "${NOTAS_PORT:-8080}:8080"
|
|
environment:
|
|
# Obrigatório: defina em .env (veja .env.example) ou exporte no shell.
|
|
NOTES_TOKEN: ${NOTES_TOKEN:?defina NOTES_TOKEN em .env ou no ambiente}
|
|
NOTES_DATA_DIR: /data
|
|
# Cookie Secure: ative no .env quando o acesso é sempre por HTTPS.
|
|
NOTES_SECURE_COOKIE: ${NOTES_SECURE_COOKIE:-false}
|
|
volumes:
|
|
# Dados no diretório local ./data (backup = copiar a pasta)
|
|
- ./data:/data
|
|
# A imagem roda como 65534 (non-root). No Podman rootless defina
|
|
# NOTAS_USER=0:0 no .env — vira o SEU usuário no host e pode escrever em ./data.
|
|
# No Docker, garanta permissão: sudo chown -R 65534:65534 data
|
|
user: "${NOTAS_USER:-65534:65534}"
|
|
restart: unless-stopped
|
|
security_opt:
|
|
- no-new-privileges:true
|