Poprawki bezpieczenstwa: XSS przez zdjecia, darmowe promowanie, ITN

- Zdjecia ogloszen tylko jako data URL JPEG/PNG/WebP; podglad OG serwuje wylacznie te typy z nosniff i CSP sandbox, bez przekierowania na dowolny URL. - Zakup promowania bez skonfigurowanej bramki AutoPay zwraca 503; automatyczne potwierdzanie tylko przy APP_PAYMENTS_AUTO_CONFIRM (lokalnie). - ITN uznaje platnosc tylko przy jawnym statusie SUCCESS i zgodnej kwocie. Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>
2026-09-23 13:13:29 +02:00
parent c740612b06
commit 1c1162c93e
11 changed files with 217 additions and 22 deletions
@@ -39,6 +39,9 @@ services:
      # musi byc wlasna, inaczej kazdy moze wystawic sobie token administratora.
      APP_JWT_SECRET: ${APP_JWT_SECRET:-local-dev-secret-change-me-please-32chars-min}
      APP_PUBLIC_BASE_URL: ${APP_PUBLIC_BASE_URL:-http://localhost}
+      # Lokalnie promowanie dziala bez kluczy AutoPay (platnosc potwierdzana automatycznie).
+      # docker-compose.prod.yml tej zmiennej nie przekazuje - na produkcji zawsze false.
+      APP_PAYMENTS_AUTO_CONFIRM: ${APP_PAYMENTS_AUTO_CONFIRM:-true}
    depends_on:
      db:
        condition: service_healthy