2 Commits

Author	SHA1	Message	Date
lokses	04b1625fde	Безопасность: закрытие 5 открытых находок ревью 25.07 ... - 2FA: убраны /api/ и /media/ из ALLOWED_PREFIXES — staff-сессия без TOTP больше не дотягивается до API/медиа (устройства в /api/ идут без staff-сессии) - Nextcloud «Обмен»: writable только для staff (не для любого logged-in) - Nextcloud путь отдела/адрес аптеки: safe_component() санитайзит сегмент (сепараторы/управляющие/ведущие точки) в провижининге и в браузере - Mattermost: shared secret кнопки «Виконано» перенесён из query string в context (тело POST) — без утечки в логи/Referer - Login: throttle на кэше (5 попыток / 5 мин, 429); logout только POST (CSRF), logout-ссылки в шаблонах → POST-формы Тесты обновлены под enforcement 2FA (login_2fa helper) и новые правила. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-28 15:38:44 +03:00
lokses	4e803c53e0	2FA: обязательная двухфакторная аутентификация (TOTP) для staff ... - Модель Employee: totp_secret (шифруется), totp_enabled, totp_backup_codes - Сервис twofa: генерация секрета/QR, проверка TOTP, резервные коды (sha256) - TwoFactorMiddleware: enforcement для is_staff на портале и /admin/ - Страницы setup/verify/backup-codes; сброс 2fa_verified при каждом входе - Админка: колонка статуса 2FA, фильтр, действие «Сбросить 2FA» - Тесты: enforcement, setup, verify, резервные коды, disable Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-28 10:41:11 +03:00