softspm/polskalokalnie
2
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Poprawki bezpieczenstwa: XSS przez zdjecia, darmowe promowanie, ITN
Deploy Polska Lokalnie / deploy (push) Successful in 12s
Details

Browse Source 
- Zdjecia ogloszen tylko jako data URL JPEG/PNG/WebP; podglad OG serwuje
  wylacznie te typy z nosniff i CSP sandbox, bez przekierowania na dowolny URL.
- Zakup promowania bez skonfigurowanej bramki AutoPay zwraca 503; automatyczne
  potwierdzanie tylko przy APP_PAYMENTS_AUTO_CONFIRM (lokalnie).
- ITN uznaje platnosc tylko przy jawnym statusie SUCCESS i zgodnej kwocie.

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>
This commit is contained in:
Przemysław Zatorski
2026-09-23 13:13:29 +02:00
parent c740612b06
commit 1c1162c93e
11 changed files with 217 additions and 22 deletions
Download Patch File Download Diff File Expand all files Collapse all files
.env.example
+5
View File
@@ -27,3 +27,8 @@ APP_JWT_SECRET=local-dev-secret-change-me-please-32chars-min
# Adres bazowy w linkach z e-maili (aktywacja konta, reset hasla).
APP_PUBLIC_BASE_URL=http://localhost
# --- Platnosci ---
# true = bez skonfigurowanej bramki AutoPay zakup promowania jest potwierdzany automatycznie.
# Wylacznie lokalnie (docker-compose.yml). Produkcja tej zmiennej nie czyta.
APP_PAYMENTS_AUTO_CONFIRM=true