evs/tenant-cabinet
1
0
Ответвление 0
Код Задачи Слияния Проекты Выпуски 2 Пакеты Вики Активность
2 выпусков 2 тегов
  • v1.0.1 8ec22288d8

    Личный кабинет арендатора 1.0.1 Стабильный

    egorowitaliy выпуск опубликован 2026-09-09 21:25:13 +03:00 | 0 коммиты main с этого выпуска

    Личный кабинет арендатора 1.0.1

    Обновление безопасности и устойчивости авторизации без изменения схемы SQLite и архитектуры уведомлений.

    Основные изменения

    • ограничение неудачных входов теперь считается по IP целиком;
    • после трёх ошибок за 15 минут приложение самостоятельно временно блокирует вход;
    • заблокированный запрос отклоняется до поиска пользователя и проверки пароля;
    • используется HTTP 429 и Retry-After;
    • успешный вход до блокировки очищает накопленные ошибки IP;
    • код восстановления пароля увеличен до шести цифр;
    • действующий код восстановления не заменяется повторным запросом;
    • подтверждённое восстановление связано с пользователем, auth_version, активным состоянием и телефоном;
    • финальная смена пароля защищена от гонки с изменением телефона арендатора;
    • полный сброс кабинета арендатора теперь требует повторного ввода текущего пароля собственника;
    • публичный пример Fail2Ban приведён к политике maxretry = 3;
    • документация дополнена рекомендацией защищать data/config.php от записи после установки там, где схема размещения это позволяет.

    Совместимость

    • миграция SQLite не требуется;
    • существующие пользователи и хэши паролей сохраняются;
    • история платежей, показаний, фотографий, сообщений и соглашений не изменяется;
    • архитектура SMS, Telegram, MAX, Matrix и общего worker не изменялась.

    Релиз прошёл целевой security/regression-аудит. Blocking findings отсутствуют.

    Загрузки