Lizandro GDandClaude Opus 5
c8e5afceb2
Seguridad (crítico): - Los webhooks de Bold y dLocal solo validaban la firma si el atacante la enviaba: sin cabecera se aceptaba cualquier payload. Ahora es obligatoria. - GET /pago-exitoso marcaba contratos como pagados leyendo un query param del navegador. Ahora solo muestra estado; la confirmación la hace la verificación contra la API de la pasarela o el webhook firmado. - /uploads se servía como estático público: se descargaban RUTs, facturas y entregables sabiendo la ruta. Ahora exige sesión. - Los secretos JWT no se podían sobreescribir por entorno (faltaba el tag env:) y su valor estaba en el repo, permitiendo firmarse una sesión de admin. Ahora son configurables y el arranque se detiene si siguen con el valor publicado. - .env y session.db salen del control de versiones. - Query Runner, gestión de usuarios/roles/módulos y seeds quedan restringidos a administradores; antes bastaba con tener sesión. Pasarelas de pago: - dLocal generaba enlaces que nunca se reconciliaban: mandaba el ID numérico en vez de "contrato-N", la URL de retorno apuntaba a la API de dLocal y nunca se enviaba notification_url, así que su webhook jamás se disparaba. - PayPal solo tenía pantalla de configuración. Se implementa el servicio completo (OAuth, orden, captura, verificación de webhook) y queda seleccionable como pasarela. - La moneda estaba fija en COP: un contrato en USD generaba un cobro por esa cifra en pesos. Contratos: - pago_confirmado nunca volvía a false, así que el segundo ciclo de renovación no se cobraba aunque el cliente pagara. Se reinicia al generar enlace nuevo. - Los contratos vencidos nunca cambiaban de estado y recibían correo a diario de forma indefinida; ahora se cierran tras 30 días de gracia. Otros: - Coolify: coolifyCall ignoraba el status HTTP y reportaba errores como éxito. El agente pasa de 10 a cobertura completa (servicios, bases de datos, variables de entorno, proyectos, equipos y recursos de servidor). - SeedBalanceData ya no corre en cada arranque (recreaba transacciones borradas); ahora se invoca con SEED_BALANCE=1. - Los seeds dejan de devolver permisos revocados en cada despliegue. - Timeouts en las llamadas HTTP a Telegram y dLocal que podían colgarse. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
26 lines
1.1 KiB
Go
26 lines
1.1 KiB
Go
package config
|
|
|
|
import "github.com/gofiber/fiber/v2"
|
|
|
|
// UploadsGuard decide si una petición puede leer archivos de /uploads.
|
|
// Se inyecta desde main.go porque el paquete config no puede importar pkg/auth
|
|
// (sería una dependencia circular vía app). Se consulta en cada petición, no al
|
|
// registrar la ruta, así que puede definirse después de cargar la configuración.
|
|
//
|
|
// Mientras esté en nil, /uploads queda cerrado: es preferible que un archivo no
|
|
// cargue a que quede expuesto sin autenticación.
|
|
var UploadsGuard func(*fiber.Ctx) bool
|
|
|
|
// uploadsProtegidos bloquea el acceso anónimo a los archivos subidos.
|
|
// Antes /uploads se servía como estático público: sabiendo (o adivinando) la
|
|
// ruta se podía descargar el RUT de un cliente, una factura o un entregable sin
|
|
// iniciar sesión. Los clientes del portal siguen usando los endpoints de
|
|
// descarga dedicados, que además validan que el archivo les pertenezca.
|
|
func uploadsProtegidos(c *fiber.Ctx) error {
|
|
if UploadsGuard != nil && UploadsGuard(c) {
|
|
return c.Next()
|
|
}
|
|
// 404 en vez de 401 para no confirmar si el archivo existe.
|
|
return c.Status(fiber.StatusNotFound).SendString("Not found")
|
|
}
|