Bezbednost

Autentifikacija

Lozinke

bcrypt, cost faktor 12
Heš se čuva u bazi, nikad u plaintext-u
Anti-enumeracija: IzjednaciVremeProvere izvršava bcrypt poređenje i kad korisnik ne postoji — vreme odgovora je identično

// internal/auth/auth.go
const bcryptCost = 12

func HashujLozinku(lozinka string) (string, error) {
    return bcrypt.GenerateFromPassword([]byte(lozinka), bcryptCost)
}

func IzjednaciVremeProvere(lozinka string) {
    _ = bcrypt.CompareHashAndPassword(dummyHash, []byte(lozinka))
}

Dvofaktorska autentifikacija (2FA)

TOTP (Time-based One-Time Password) — RFC 6238
6-cifreni kodovi, rotiraju na 30 sekundi
Tajna se šifruje AES-256-GCM pre upisa u bazu
QR kod za podešavanje u autentifikator aplikaciji
Rezervni kodovi za oporavak (jednokratni, bcrypt heširani)

Sesije

Server-side — token u HTTP-only kolačiću ntech_sesija
Token je UUID v4 (github.com/google/uuid)
Podaci sesije: korisnik_id, token, created_at, expires_at
Nema osetljivih podataka u kolačiću — samo nasumični token
Secure flag u produkciji i demo modu
HttpOnly — JavaScript ne može da čita kolačić
SameSite=Lax — zaštita od CSRF-a na nivou brauzera

Brute-force zaštita

5 neuspelih pokušaja sa iste IP adrese u 15 minuta → IP se blokira

Evidencija u tabeli pokusaji_prijave
Auth log u fail2ban formatu (/var/log/ntech/auth.log)
Pogodan za integraciju sa spoljnim fail2ban-om

CSRF zaštita

Double-submit cookie obrazac
CSRF token se generiše na serveru i ubacuje u svaki <form>
Token se upoređuje sa kolačićem pri svakoj POST/PUT/DELETE mutaciji
Implementacija: internal/middleware/csrf.go

<!-- Automatski ubacuje renderer -->
<form method="post" action="/magacin/novi">
  <input type="hidden" name="csrf_token" value="...">
  ...
</form>

RBAC — Kontrola pristupa zasnovana na ulogama

Uloge

Uloga	Opis
superadmin	Pun pristup — sve dozvole + dodela uloga
admin	Upravljanje korisnicima, podešavanja, svi moduli
radnik	Ograničen pristup — dodeljene dozvole po modulu

Dozvole (39 akcija)

Akcije su granularne: modul.akcija (npr. artikal.dodaj, servis.obrisi, izvestaj.pregled).

Neke rute su namerno javne (bez dozvole):

/magacin — pregled magacina
/podsetnici — svi prijavljeni vide svoje podsetnike
/prijava, /setup — neautentifikovani pristup

Middleware zaštita

// Mutirajuće rute — vraća 403 na odbijanje
r.With(doz("prodaja.dodaj")).Post("/prodaja/nova", ...)

// GET rute — redirektuje na odbijanje
r.With(doz("nabavka.pregled")).Get("/nabavke", ...)

// Admin rute — po ulozi
r.Group(RequireAdmin)    → /admin/korisnici*, /admin/dozvole*
r.Group(RequireSuperAdmin) → /admin/dozvole/uloga/{id}

Security headeri

Svaki HTTP odgovor dobija:

Header	Vrednost
`Content-Security-Policy`	Dinamički: `style-src`, `script-src`, `img-src`, `font-src`
`X-Content-Type-Options`	`nosniff`
`X-Frame-Options`	`DENY`
`X-XSS-Protection`	`0` (zastarelo, CSP preuzima)
`Referrer-Policy`	`strict-origin-when-cross-origin`
`Strict-Transport-Security`	`max-age=63072000` (samo u produkciji)

Ostale mere

XSS zaštita — ntechToast koristi textContent (ne innerHTML)
Open redirect — validacija _next parametra kroz whitelist
Limit upload-a — http.MaxBytesReader za sve POST zahteve
Anti-MIME-sniffing — X-Content-Type-Options: nosniff
CSP font-src — dozvoljava samo 'self' (rešava problem sa Chart.js fontovima u Operi/Chrome-u)
Secure kolačići — Secure=true u produkciji i demo modu
OIE zaštita — SameSite=Lax na svim kolačićima

Bezbednost

Autentifikacija

Lozinke

Dvofaktorska autentifikacija (2FA)

Sesije

Brute-force zaštita

CSRF zaštita

RBAC — Kontrola pristupa zasnovana na ulogama

Uloge

Dozvole (39 akcija)

Middleware zaštita

Security headeri

Ostale mere

Wiki