Dasko
127cebea3c
- konstantno-vremensko poređenje CSRF tokena i kartica-PIN-a
- CSRF grupa proširena na /prijava, /prijava/totp, /setup
- router-level dozvola na svim /admin/podesavanja/* i modul("fiskalizacija")
na fiskal.pazar rutama
- KlijentRepo.Pronadji razlikuje sql.ErrNoRows od stvarnih DB grešaka
- izdvojen zajednički vratiStavkeNaStanje umesto 4 duplirana bloka
(ProdajaRepo/ServisRepo Storno/Obrisi)
- datumi u KIR/KPR sada se upisuju/porede kao "2006-01-02", usklađeno sa KPO
- ArtikalRepo.DohvatiVise (batch dohvat) — ukida N+1 upite u SacuvajNabavku
- KategorijaRepo.Obrisi umesto direktnog SQL-a u handleru, sa
ErrKategorijaUUpotrebi porukom
- KolicinMin -> KolicinaMin (tipfeler), Trosak/Usluga.DatumUnosa string -> time.Time
- dedup OznakaPoreskogBroja (KIR/KPR)
- inicijali() template funkcija (rune, ne bajtovi) za avatar inicijale
85 lines
2.6 KiB
Go
85 lines
2.6 KiB
Go
package middleware
|
|
|
|
import (
|
|
"context"
|
|
"crypto/rand"
|
|
"crypto/subtle"
|
|
"encoding/base64"
|
|
"net/http"
|
|
"os"
|
|
"strings"
|
|
)
|
|
|
|
const csrfKolacic = "ntech_csrf"
|
|
|
|
// maxTeloUpload je gornja granica veličine tela multipart zahteva (upload fajlova).
|
|
// Postavlja se u middleware-u pre parsiranja jer čitanje _csrf polja već parsira
|
|
// telo — bez ovog limita pojedinačni handleri ne mogu da ga efektivno ograniče.
|
|
// Najveći legitiman upload je 5 MB (avatar, pozadina); ostatak je rezerva za form overhead.
|
|
const maxTeloUpload = 6 << 20
|
|
|
|
type csrfKljucTip struct{}
|
|
|
|
var csrfKljuc = csrfKljucTip{}
|
|
|
|
// CsrfToken vraća CSRF token iz konteksta zahteva (postavlja ga CsrfMiddleware)
|
|
func CsrfToken(ctx context.Context) string {
|
|
if v, ok := ctx.Value(csrfKljuc).(string); ok {
|
|
return v
|
|
}
|
|
return ""
|
|
}
|
|
|
|
// CsrfMiddleware generiše i validira CSRF tokene metodom cookie + skriveno polje
|
|
func CsrfMiddleware(next http.Handler) http.Handler {
|
|
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
|
// čita postojeći ili generiše novi token
|
|
token := ""
|
|
if k, err := r.Cookie(csrfKolacic); err == nil && k.Value != "" {
|
|
token = k.Value
|
|
} else {
|
|
b := make([]byte, 32)
|
|
if _, err := rand.Read(b); err == nil {
|
|
token = base64.RawURLEncoding.EncodeToString(b)
|
|
http.SetCookie(w, &http.Cookie{
|
|
Name: csrfKolacic,
|
|
Value: token,
|
|
Path: "/",
|
|
MaxAge: 86400 * 30,
|
|
HttpOnly: true,
|
|
Secure: os.Getenv("NTECH_ENV") == "production" || os.Getenv("NTECH_ENV") == "demo",
|
|
SameSite: http.SameSiteStrictMode,
|
|
})
|
|
}
|
|
}
|
|
|
|
// ubacujemo token u context radi dostupnosti u handlerima i šablonima
|
|
ctx := context.WithValue(r.Context(), csrfKljuc, token)
|
|
r = r.WithContext(ctx)
|
|
|
|
// validiramo na svim mutabilnim HTTP metodama
|
|
switch r.Method {
|
|
case http.MethodPost, http.MethodPut, http.MethodPatch, http.MethodDelete:
|
|
// ograničavamo veličinu tela PRE parsiranja — čitanje _csrf polja parsira
|
|
// celo telo, pa je ovo jedino mesto gde limit za upload stvarno deluje
|
|
if strings.HasPrefix(r.Header.Get("Content-Type"), "multipart/form-data") {
|
|
r.Body = http.MaxBytesReader(w, r.Body, maxTeloUpload)
|
|
}
|
|
// čitamo token iz tela forme ili zaglavlja (za AJAX)
|
|
submitted := r.FormValue("_csrf")
|
|
if submitted == "" {
|
|
submitted = r.Header.Get("X-CSRF-Token")
|
|
}
|
|
if token == "" || subtle.ConstantTimeCompare([]byte(submitted), []byte(token)) != 1 {
|
|
http.Error(w,
|
|
"Neispravan sigurnosni token. Osvežite stranicu i pokušajte ponovo.",
|
|
http.StatusForbidden,
|
|
)
|
|
return
|
|
}
|
|
}
|
|
|
|
next.ServeHTTP(w, r)
|
|
})
|
|
}
|