Sicherheit: - Bulk-Erstellung serverseitig auf eingeloggte Nutzer beschränkt; expire_minutes wird validiert (anonym: nur Default/Template-Werte, eingeloggt: max. 1 Jahr) - IP-basiertes Rate-Limit über neue Tabelle request_throttle (Voucher-Erstellung + Passwort-Reset-Anfragen), Session-Fallback für Alt-Installationen; Migration 0002 - session_regenerate_id() nach Login, Secure-Cookie-Flag bei HTTPS - Admin-/Aktiv-Status wird pro Request live aus der DB geprüft (Rechteentzug & Deaktivierung wirken sofort); Schutz vor Selbst-Degradierung im Benutzer-Edit - Alle state-ändernden Admin-Aktionen von GET auf POST umgestellt (kein CSRF-Token mehr in URLs) - login_simple.php (Legacy, Debug-Leak) entfernt; cron_test.php nur noch für Admins; .htaccess auf Apache-2.4-Syntax inkl. cron_test.php - M365 Client Secret wird nicht mehr ins Formular zurückgegeben - Updater: Zip-Slip-/Pfad-Traversal-Schutz, Backup vor dem Anwenden mit automatischem Rollback bei Fehlern, AuditLogger-Bug behoben - cron_sync: Token-Vergleich mit hash_equals; login_attempts-Pruning - CSV-Export gegen Excel-Formula-Injection abgesichert Bugfixes: - M365-Login: Fallback auf userPrincipalName, wenn Graph kein 'mail' liefert (Nutzer ohne Exchange-Postfach konnten sich nie anmelden) - PRG-Pattern überall: F5 erzeugt keine Duplikat-Voucher und wiederholt keine Admin-Aktionen (Session-Flash-Messages) - QR-Code nicht mehr invertiert (schwarz auf weiß, scanbar) - Bulk-Erstellung nutzt den UniFi 'n'-Parameter: 1 API-Call statt n× Login + Voucherlisten-Abruf; exaktes Code-Matching per create_time statt "global neuester Voucher" - Mailer: doppelte Zeilenumbrüche behoben, AUTH nur mit Credentials, SMTP-Dot-Stuffing, CLI-sicherer EHLO-Host - forgot_password: System-URL-Auto-Detect (Reset-Link war sonst relativ/kaputt) + Rate-Limit - Audit-Log-Labels an tatsächliche Action-Keys angepasst; Voucher-Erstellung (einzeln & bulk) wird jetzt auditiert - Site-Edit testet die Verbindung auch ohne Passwortänderung UX/UI: - Alert-/Badge-Styles zentral in global.css mit Dark-Mode-Variablen (vorher 7× dupliziert mit hart codierten Hellfarben) - Sticky-Formulare + Tab-Erhalt nach Validierungsfehlern (Bulk), Settings kehren nach dem Speichern zum aktiven Tab zurück - Gültigkeit menschenlesbar (z.B. "8 Stunden" statt "480 Minuten") - Voucher-Name-Default "Gast/Guest" im öffentlichen Modus - Favicon auch auf Login-/öffentlichen Seiten - Verbindungstest-Button pro Site-Karte (Health-Check) - i18n-Pass: Confirm-Dialoge, Toasts, Fehl-/Erfolgsmeldungen in de/en - Sprachumschalter ohne fetch+reload (kein Re-Submit-Dialog) - A11y: Esc schließt Modals, aria-live für Toasts, aria-labels auf Icon-Buttons; APP_KEY-Warnbanner im Dashboard - Dashboard-Sync: set_time_limit passend zur Site-Anzahl; Voucher-Sync mit Map statt SELECT pro Voucher Tooling: - GitHub-Actions-Workflow: PHP-Lint aller Dateien + de/en-Key-Parität https://claude.ai/code/session_01KKVpVPJjrTKGoRgpJcySD4
79 lines
2.7 KiB
PHP
79 lines
2.7 KiB
PHP
<?php
|
|
// Minimaler Test für Cron-Sync Debugging
|
|
// Nur fuer angemeldete Admins zugaenglich (leakt sonst DB-Schema & Token-Status)
|
|
require_once __DIR__ . '/config.php';
|
|
require_once __DIR__ . '/includes/Database.php';
|
|
require_once __DIR__ . '/includes/Auth.php';
|
|
$cronTestAuth = new Auth();
|
|
$cronTestAuth->requireAdmin();
|
|
|
|
header('Content-Type: application/json');
|
|
|
|
echo json_encode(['step' => 1, 'message' => 'PHP läuft']);
|
|
|
|
// Test 1: Config laden
|
|
try {
|
|
require_once __DIR__ . '/config.php';
|
|
echo "\n" . json_encode(['step' => 2, 'message' => 'Config geladen']);
|
|
} catch (Exception $e) {
|
|
echo "\n" . json_encode(['step' => 2, 'error' => $e->getMessage()]);
|
|
exit;
|
|
}
|
|
|
|
// Test 2: Database laden
|
|
try {
|
|
require_once __DIR__ . '/includes/Database.php';
|
|
echo "\n" . json_encode(['step' => 3, 'message' => 'Database.php geladen']);
|
|
} catch (Exception $e) {
|
|
echo "\n" . json_encode(['step' => 3, 'error' => $e->getMessage()]);
|
|
exit;
|
|
}
|
|
|
|
// Test 3: DB-Verbindung
|
|
try {
|
|
$db = Database::getInstance();
|
|
echo "\n" . json_encode(['step' => 4, 'message' => 'DB-Verbindung OK']);
|
|
} catch (Exception $e) {
|
|
echo "\n" . json_encode(['step' => 4, 'error' => $e->getMessage()]);
|
|
exit;
|
|
}
|
|
|
|
// Test 4: UniFiController laden
|
|
try {
|
|
require_once __DIR__ . '/includes/UniFiController.php';
|
|
echo "\n" . json_encode(['step' => 5, 'message' => 'UniFiController.php geladen']);
|
|
} catch (Exception $e) {
|
|
echo "\n" . json_encode(['step' => 5, 'error' => $e->getMessage()]);
|
|
exit;
|
|
}
|
|
|
|
// Test 5: Spalten prüfen
|
|
try {
|
|
$columns = $db->fetchAll("SHOW COLUMNS FROM vouchers");
|
|
$columnNames = array_column($columns, 'Field');
|
|
echo "\n" . json_encode(['step' => 6, 'message' => 'Voucher-Spalten', 'columns' => $columnNames]);
|
|
|
|
// Prüfen ob neue Spalten existieren
|
|
$required = ['status', 'used_count', 'expires_at', 'synced_from_unifi', 'last_sync'];
|
|
$missing = array_diff($required, $columnNames);
|
|
|
|
if (!empty($missing)) {
|
|
echo "\n" . json_encode(['step' => 7, 'warning' => 'Fehlende Spalten', 'missing' => array_values($missing)]);
|
|
} else {
|
|
echo "\n" . json_encode(['step' => 7, 'message' => 'Alle Spalten vorhanden']);
|
|
}
|
|
} catch (Exception $e) {
|
|
echo "\n" . json_encode(['step' => 6, 'error' => $e->getMessage()]);
|
|
exit;
|
|
}
|
|
|
|
// Test 6: Token prüfen
|
|
try {
|
|
$token = $db->getSetting('cron_token', '');
|
|
echo "\n" . json_encode(['step' => 8, 'message' => 'Token Status', 'has_token' => !empty($token)]);
|
|
} catch (Exception $e) {
|
|
echo "\n" . json_encode(['step' => 8, 'error' => $e->getMessage()]);
|
|
exit;
|
|
}
|
|
|
|
echo "\n" . json_encode(['final' => 'Alle Tests erfolgreich!']);
|