mirror of
https://github.com/HolgerHatGarKeineNode/einundzwanzig-nostr.git
synced 2026-02-15 03:23:17 +00:00
## Security Audit: Fehlende zentralisierte Autorisierung
### Problem
Die Anwendung hat **keine Laravel Policy-Klassen**. Autorisierungslogik ist verstreut in:
- **Blade Templates:** Inline `@if`-Checks gegen `config('einundzwanzig.config.current_board')`
- **Livewire Trait:** `app/Livewire/Traits/WithNostrAuth.php` setzt `$isAllowed` und `$canEdit` Booleans
- **Component-Mount-Methoden:** z.B. in `project-support/form/create.blade.php` (Zeile 41-47)
Die Board-Member-Autorisierung funktioniert über einen Vergleich mit hartkodierten npubs in `config/einundzwanzig/config.php`:
```php
'current_board' => [
'npub1pt0kw36...', 'npub1gvqkjc...', // etc.
]
```
**Probleme:**
- Keine zentrale Stelle für Berechtigungsprüfungen
- Autorisierung kann leicht vergessen werden wenn neue Endpoints hinzukommen
- Board-Member-Check wird an vielen Stellen dupliziert
- Livewire-Actions können ggf. direkt aufgerufen werden ohne UI-seitige Prüfung
### Lösung
**1. Laravel Policies erstellen:**
```bash
php artisan make:policy ProjectProposalPolicy --model=ProjectProposal --no-interaction
php artisan make:policy VotePolicy --model=Vote --no-interaction
php artisan make:policy ElectionPolicy --model=Election --no-interaction
```
**2. Policy-Methoden implementieren:**
Für `ProjectProposalPolicy`:
- `viewAny()` – Jeder darf die Liste sehen
- `view()` – Jeder darf ein Proposal sehen
- `create()` – Nur authentifizierte User mit `association_status > 1` und bezahlter Mitgliedschaft im aktuellen Jahr
- `update()` – Nur der Ersteller ODER Board-Members
- `delete()` – Nur Board-Members
- `accept()` – Nur Board-Members (custom method für `accepted`-Flag)
Für `VotePolicy`:
- `create()` – Authentifizierte User, die noch nicht für dieses Proposal abgestimmt haben
- `update()` / `delete()` – Nur der eigene Vote
Für `ElectionPolicy`:
- `viewAny()` / `view()` – Jeder
- `create()` / `update()` / `delete()` – Nur Board-Members
- `vote()` – Authentifizierte Mitglieder mit gültigem Status
**3. Auth-Checks in der Nostr-Auth-Architektur:**
Die App nutzt eine Custom NostrAuth (`app/Support/NostrAuth.php`, `app/Auth/NostrUser.php`). Die Policies müssen mit `NostrUser` funktionieren. Prüfe ob `NostrUser` das `Authenticatable` Interface korrekt implementiert, damit `$this->authorize()` und `Gate::allows()` in Livewire-Components funktionieren.
**4. Policies in Livewire-Components nutzen:**
Ersetze die inline-Checks in den Components durch Policy-Aufrufe:
```php
// Vorher (verstreut in Blade/Component):
if (in_array($this->currentPleb->npub, config('einundzwanzig.config.current_board'), true)) { ... }
// Nachher (zentralisiert):
$this->authorize('update', $projectProposal);
```
### Betroffene Dateien
- **Neue Dateien:** `app/Policies/ProjectProposalPolicy.php`, `app/Policies/VotePolicy.php`, `app/Policies/ElectionPolicy.php`
- **Anpassen:** `app/Livewire/Traits/WithNostrAuth.php` – Board-Check in Policy auslagern
- **Anpassen:** Livewire-Components in `app/Livewire/Association/ProjectSupport/` – `$this->authorize()` nutzen
- **Anpassen:** Livewire-Components in `app/Livewire/Association/Election/` – `$this->authorize()` nutzen
- **Prüfen:** `app/Auth/NostrUser.php` – Kompatibilität mit Policy-System
- **Prüfen:** `config/einundzwanzig/config.php` – Board-Member-Liste wird weiterhin als Datenquelle genutzt
### Vorgehen
1. `search-docs` nutzen: `queries: ['policies', 'authorization', 'gates']` und `packages: ['laravel/framework']`
2. Prüfe wie `NostrUser` mit Laravel's Authorization-System zusammenspielt
3. Policies mit `php artisan make:policy` erstellen
4. Policy-Methoden implementieren (Board-Check-Logik zentralisieren)
5. Livewire-Components auf Policy-Aufrufe umstellen
6. Blade-Templates: `@can` / `@cannot` Directives nutzen statt inline `@if`
7. Pest Feature-Tests für jede Policy-Methode schreiben
8. `vendor/bin/pint --dirty` und `php artisan test --compact`
### Akzeptanzkriterien
- 3 Policy-Klassen existieren und sind registriert
- Board-Member-Check ist an EINER Stelle definiert (in Policy oder Helper)
- Livewire-Components nutzen `$this->authorize()` statt inline-Checks
- Blade-Templates nutzen `@can` / `@cannot` Directives
- Pest-Tests decken alle Policy-Methoden ab (allow & deny)
- Bestehende Funktionalität bleibt erhalten
124 lines
4.2 KiB
PHP
124 lines
4.2 KiB
PHP
<?php
|
|
|
|
use App\Models\EinundzwanzigPleb;
|
|
use App\Models\Election;
|
|
use App\Support\NostrAuth;
|
|
use Livewire\Livewire;
|
|
|
|
it('loads elections on mount', function () {
|
|
$election1 = Election::factory()->create(['year' => 2024]);
|
|
$election2 = Election::factory()->create(['year' => 2025]);
|
|
|
|
Livewire::test('association.election.index')
|
|
->assertSet('elections', function ($elections) {
|
|
return count($elections) >= 2;
|
|
});
|
|
});
|
|
|
|
it('denies access to unauthorized users in election index', function () {
|
|
$pleb = EinundzwanzigPleb::factory()->create();
|
|
$election = Election::factory()->create();
|
|
|
|
NostrAuth::login($pleb->pubkey);
|
|
|
|
Livewire::test('association.election.index', ['election' => $election])
|
|
->assertSet('isAllowed', false);
|
|
});
|
|
|
|
it('grants access to authorized users in election index', function () {
|
|
$pleb = EinundzwanzigPleb::factory()->boardMember()->create();
|
|
$election = Election::factory()->create();
|
|
|
|
NostrAuth::login($pleb->pubkey);
|
|
|
|
Livewire::test('association.election.index', ['election' => $election])
|
|
->assertSet('isAllowed', true);
|
|
});
|
|
|
|
// Election Admin Tests
|
|
it('renders election admin component', function () {
|
|
$election = Election::factory()->create();
|
|
|
|
Livewire::test('association.election.admin', ['election' => $election])
|
|
->assertStatus(200);
|
|
});
|
|
|
|
it('denies access to unauthorized users in election admin', function () {
|
|
$pleb = EinundzwanzigPleb::factory()->create();
|
|
$election = Election::factory()->create();
|
|
|
|
NostrAuth::login($pleb->pubkey);
|
|
|
|
Livewire::test('association.election.admin', ['election' => $election])
|
|
->assertSet('isAllowed', false);
|
|
});
|
|
|
|
it('grants access to authorized users in election admin', function () {
|
|
$pleb = EinundzwanzigPleb::factory()->boardMember()->create();
|
|
$election = Election::factory()->create();
|
|
|
|
Livewire::test('association.election.admin', ['election' => $election])
|
|
->call('handleNostrLoggedIn', $pleb->pubkey)
|
|
->assertSet('isAllowed', true);
|
|
});
|
|
|
|
// Election Show Tests
|
|
it('renders election show component', function () {
|
|
$election = Election::factory()->create();
|
|
|
|
Livewire::test('association.election.show', ['election' => $election])
|
|
->assertStatus(200);
|
|
});
|
|
|
|
it('loads election data on mount in show', function () {
|
|
$election = Election::factory()->create();
|
|
|
|
Livewire::test('association.election.show', ['election' => $election])
|
|
->assertSet('election.id', $election->id);
|
|
});
|
|
|
|
it('handles search in election show', function () {
|
|
$election = Election::factory()->create();
|
|
$pleb1 = EinundzwanzigPleb::factory()->active()->create();
|
|
$pleb2 = EinundzwanzigPleb::factory()->boardMember()->create();
|
|
|
|
Livewire::test('association.election.show', ['election' => $election])
|
|
->set('search', $pleb1->pubkey)
|
|
->assertSet('plebs', function ($plebs) use ($pleb1) {
|
|
return collect($plebs)->contains('pubkey', $pleb1->pubkey);
|
|
});
|
|
});
|
|
|
|
it('can create vote event', function () {
|
|
$election = Election::factory()->create();
|
|
$pleb = EinundzwanzigPleb::factory()->active()->create();
|
|
$candidatePubkey = 'test-candidate-pubkey';
|
|
|
|
Livewire::test('association.election.show', ['election' => $election])
|
|
->call('handleNostrLoggedIn', $pleb->pubkey)
|
|
->call('vote', $candidatePubkey, 'presidency', false)
|
|
->assertSet('signThisEvent', function ($event) use ($candidatePubkey) {
|
|
return str_contains($event, $candidatePubkey);
|
|
});
|
|
});
|
|
|
|
it('checks election closure status', function () {
|
|
$election = Election::factory()->create([
|
|
'end_time' => now()->subDay(),
|
|
]);
|
|
|
|
Livewire::test('association.election.show', ['election' => $election])
|
|
->call('checkElection')
|
|
->assertSet('isNotClosed', false);
|
|
});
|
|
|
|
it('displays log for authorized users', function () {
|
|
$pleb = EinundzwanzigPleb::factory()->active()->create();
|
|
$election = Election::factory()->create();
|
|
|
|
Livewire::test('association.election.show', ['election' => $election])
|
|
->call('handleNostrLoggedIn', $pleb->pubkey)
|
|
->assertSet('isAllowed', true)
|
|
->assertSet('currentPubkey', $pleb->pubkey);
|
|
});
|