Lizandro GDandClaude Opus 5
c8e5afceb2
Seguridad (crítico): - Los webhooks de Bold y dLocal solo validaban la firma si el atacante la enviaba: sin cabecera se aceptaba cualquier payload. Ahora es obligatoria. - GET /pago-exitoso marcaba contratos como pagados leyendo un query param del navegador. Ahora solo muestra estado; la confirmación la hace la verificación contra la API de la pasarela o el webhook firmado. - /uploads se servía como estático público: se descargaban RUTs, facturas y entregables sabiendo la ruta. Ahora exige sesión. - Los secretos JWT no se podían sobreescribir por entorno (faltaba el tag env:) y su valor estaba en el repo, permitiendo firmarse una sesión de admin. Ahora son configurables y el arranque se detiene si siguen con el valor publicado. - .env y session.db salen del control de versiones. - Query Runner, gestión de usuarios/roles/módulos y seeds quedan restringidos a administradores; antes bastaba con tener sesión. Pasarelas de pago: - dLocal generaba enlaces que nunca se reconciliaban: mandaba el ID numérico en vez de "contrato-N", la URL de retorno apuntaba a la API de dLocal y nunca se enviaba notification_url, así que su webhook jamás se disparaba. - PayPal solo tenía pantalla de configuración. Se implementa el servicio completo (OAuth, orden, captura, verificación de webhook) y queda seleccionable como pasarela. - La moneda estaba fija en COP: un contrato en USD generaba un cobro por esa cifra en pesos. Contratos: - pago_confirmado nunca volvía a false, así que el segundo ciclo de renovación no se cobraba aunque el cliente pagara. Se reinicia al generar enlace nuevo. - Los contratos vencidos nunca cambiaban de estado y recibían correo a diario de forma indefinida; ahora se cierran tras 30 días de gracia. Otros: - Coolify: coolifyCall ignoraba el status HTTP y reportaba errores como éxito. El agente pasa de 10 a cobertura completa (servicios, bases de datos, variables de entorno, proyectos, equipos y recursos de servidor). - SeedBalanceData ya no corre en cada arranque (recreaba transacciones borradas); ahora se invoca con SEED_BALANCE=1. - Los seeds dejan de devolver permisos revocados en cada despliegue. - Timeouts en las llamadas HTTP a Telegram y dLocal que podían colgarse. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
95 lines
2.4 KiB
Go
Executable File
95 lines
2.4 KiB
Go
Executable File
package config
|
|
|
|
import (
|
|
"errors"
|
|
"time"
|
|
|
|
"github.com/form3tech-oss/jwt-go"
|
|
"github.com/gofiber/fiber/v2"
|
|
)
|
|
|
|
type Token struct {
|
|
Hash string `json:"token"`
|
|
Expire int64 `mapstructure:"JWT_EXPIRE" json:"expires_in" yaml:"expires_in"`
|
|
// Los secretos JWT firman las cookies de sesión: si se filtran, cualquiera
|
|
// puede fabricarse una sesión de administrador válida. El tag env: permite
|
|
// definirlos por variable de entorno sin dejarlos escritos en config.yml.
|
|
AppJwtSecret string `mapstructure:"APP_JWT_SECRET" yaml:"app_jwt_secret" env:"APP_JWT_SECRET"`
|
|
ApiJwtSecret string `mapstructure:"API_JWT_SECRET" yaml:"api_jwt_secret" env:"API_JWT_SECRET"`
|
|
}
|
|
|
|
// CreateToken authenticates the user
|
|
func (t *Token) CreateToken(c *fiber.Ctx, userID uint, secret string, expire ...int64) (*Token, error) {
|
|
token := jwt.New(jwt.SigningMethodHS256)
|
|
|
|
claims := token.Claims.(jwt.MapClaims)
|
|
claims["id"] = userID
|
|
const ninetyYears = int64(90 * 365 * 24 * 3600)
|
|
if len(expire) > 0 {
|
|
t.Expire = expire[0]
|
|
} else {
|
|
t.Expire = ninetyYears
|
|
}
|
|
expiresIn := time.Now().Add(time.Duration(t.Expire) * time.Second).Unix()
|
|
claims["exp"] = expiresIn
|
|
|
|
tokenHash, err := token.SignedString([]byte(secret))
|
|
|
|
if err != nil {
|
|
return nil, err
|
|
}
|
|
c.Cookie(&fiber.Cookie{
|
|
Name: "Verify-Rest-Token",
|
|
Value: tokenHash,
|
|
MaxAge: int(ninetyYears),
|
|
Secure: false,
|
|
HTTPOnly: true,
|
|
})
|
|
t.Hash = tokenHash
|
|
t.Expire = expiresIn
|
|
return t, nil
|
|
}
|
|
|
|
// ParseToken returns the users id or error
|
|
func (t *Token) ParseToken(c *fiber.Ctx, secret string) (uint, error) {
|
|
tokenString := c.Cookies("Verify-Rest-Token")
|
|
|
|
if tokenString == "" {
|
|
return 0, errors.New("Empty auth cookie")
|
|
}
|
|
|
|
claims := jwt.MapClaims{}
|
|
_, err := jwt.ParseWithClaims(tokenString, claims, func(token *jwt.Token) (interface{}, error) {
|
|
return []byte(secret), nil
|
|
})
|
|
if err != nil {
|
|
return 0, err
|
|
}
|
|
|
|
//Checks if the token is valid if it is not then it deletes it
|
|
err2 := claims.Valid()
|
|
|
|
if err2 != nil {
|
|
t.DeleteToken(c)
|
|
return 0, err2
|
|
}
|
|
|
|
return uint(claims["id"].(float64)), nil
|
|
}
|
|
|
|
// DeleteToken deletes the jwt token
|
|
func (t *Token) DeleteToken(c *fiber.Ctx) {
|
|
c.ClearCookie("Verify-Rest-Token")
|
|
}
|
|
|
|
// RefreshToken refreshes the token
|
|
func (t *Token) RefreshToken(c *fiber.Ctx, secret string) (*Token, error) {
|
|
u, err := t.ParseToken(c, secret)
|
|
|
|
if err != nil {
|
|
return nil, nil
|
|
}
|
|
|
|
return t.CreateToken(c, u, secret)
|
|
}
|