Dobra wiadomość! Twoja propozycja artykułu „" + safeTitle + "” została" @@ -80,7 +80,7 @@ public class AccountEmailService { } else { String reasonHtml = reason == null || reason.isBlank() ? "" : "
Powód: " - + reason.trim() + "
"; + + HtmlUtils.htmlEscape(reason.trim()) + ""; body = "Dziękujemy za propozycję artykułu „" + safeTitle + "”. Po analizie nasz zespół" + " zdecydował, że w obecnej formie nie zostanie on opublikowany.
" + reasonHtml @@ -143,8 +143,10 @@ public class AccountEmailService { } } - private static String greeting(String name) { - String who = name == null || name.isBlank() ? "" : " " + name.trim().split("\\s+")[0]; + // Imie pochodzi z formularza rejestracji (kazdy moze zarejestrowac cudzy adres), wiec jest + // escapowane - inaczej prawdziwy mail z serwisu niosl by link lub tresc atakujacego. + static String greeting(String name) { + String who = name == null || name.isBlank() ? "" : " " + HtmlUtils.htmlEscape(name.trim().split("\\s+")[0]); return "Cześć" + who + ",
"; } diff --git a/backend/src/main/java/pl/polskalokalnie/auth/JwtAuthFilter.java b/backend/src/main/java/pl/polskalokalnie/auth/JwtAuthFilter.java index f9c35d2..9d48d77 100644 --- a/backend/src/main/java/pl/polskalokalnie/auth/JwtAuthFilter.java +++ b/backend/src/main/java/pl/polskalokalnie/auth/JwtAuthFilter.java @@ -21,6 +21,8 @@ import pl.polskalokalnie.user.UserRepository; @Component public class JwtAuthFilter extends OncePerRequestFilter { + static final String STREAM_PATH = "/api/notifications/stream"; + private final JwtService jwtService; private final UserRepository userRepository; @@ -35,10 +37,20 @@ public class JwtAuthFilter extends OncePerRequestFilter { @NonNull HttpServletResponse response, @NonNull FilterChain filterChain ) throws ServletException, IOException { - String token = resolveToken(request); - if (token != null) { + String header = request.getHeader("Authorization"); + boolean fromHeader = header != null && header.startsWith("Bearer "); + // Token w adresie tylko dla strumienia powiadomien (EventSource nie ustawia naglowkow) i tylko + // krotki token strumienia - token sesji w adresie trafial do logow serwera. + String token = fromHeader ? header.substring(7) + : STREAM_PATH.equals(request.getRequestURI()) ? request.getParameter("ticket") : null; + if (token != null && !token.isBlank()) { try { Claims claims = jwtService.parse(token); + boolean streamToken = JwtService.PURPOSE_STREAM.equals(claims.get("purpose", String.class)); + if (streamToken == fromHeader) { + // Token strumienia nie jest sesja, a sesji nie przyjmujemy z adresu. + throw new IllegalArgumentException("Token uzyty niezgodnie z przeznaczeniem"); + } // Stan konta bierzemy z bazy, a nie z tokenu: zablokowanie, usuniecie konta, odebranie // roli administratora i zmiana hasla dzialaja od razu, a nie dopiero po wygasnieciu tokenu. AppUser user = userRepository.findByEmailIgnoreCase(claims.getSubject()).orElse(null); @@ -64,16 +76,4 @@ public class JwtAuthFilter extends OncePerRequestFilter { return validFrom == null || (issuedAt != null && !issuedAt.isBefore(validFrom)); } - // Token z naglowka Authorization, a dla SSE (EventSource nie ustawia naglowkow) - z parametru access_token. - private String resolveToken(HttpServletRequest request) { - String header = request.getHeader("Authorization"); - if (header != null && header.startsWith("Bearer ")) { - return header.substring(7); - } - String param = request.getParameter("access_token"); - if (param != null && !param.isBlank()) { - return param; - } - return null; - } } diff --git a/backend/src/main/java/pl/polskalokalnie/auth/JwtService.java b/backend/src/main/java/pl/polskalokalnie/auth/JwtService.java index 3aacb39..5497ae1 100644 --- a/backend/src/main/java/pl/polskalokalnie/auth/JwtService.java +++ b/backend/src/main/java/pl/polskalokalnie/auth/JwtService.java @@ -38,6 +38,26 @@ public class JwtService { .compact(); } + /** Przeznaczenie tokenu strumienia powiadomien (claim "purpose"). */ + public static final String PURPOSE_STREAM = "sse"; + private static final long STREAM_TOKEN_SECONDS = 60; + + /** + * Krotki (60 s) token wylacznie do otwarcia strumienia powiadomien. EventSource nie ustawia + * naglowkow, wiec token idzie w adresie - a adresy laduja w logach. Dlatego nie jest to token + * sesji: dziala tylko na /api/notifications/stream i wygasa po minucie. + */ + public String generateStreamToken(String email) { + Instant now = Instant.now(); + return Jwts.builder() + .subject(email) + .claim("purpose", PURPOSE_STREAM) + .issuedAt(Date.from(now)) + .expiration(Date.from(now.plusSeconds(STREAM_TOKEN_SECONDS))) + .signWith(key) + .compact(); + } + public Claims parse(String token) { return Jwts.parser() .verifyWith(key) diff --git a/backend/src/main/java/pl/polskalokalnie/auth/dto/RegisterRequest.java b/backend/src/main/java/pl/polskalokalnie/auth/dto/RegisterRequest.java index 695fe19..5a12f45 100644 --- a/backend/src/main/java/pl/polskalokalnie/auth/dto/RegisterRequest.java +++ b/backend/src/main/java/pl/polskalokalnie/auth/dto/RegisterRequest.java @@ -8,7 +8,7 @@ import pl.polskalokalnie.user.AccountType; public record RegisterRequest( @NotBlank @Email String email, @NotBlank @Size(min = 6, max = 72) String password, - @NotBlank String fullName, + @NotBlank @Size(max = 120) String fullName, AccountType accountType, String phone, String nip, diff --git a/backend/src/main/java/pl/polskalokalnie/auth/dto/UpdateProfileRequest.java b/backend/src/main/java/pl/polskalokalnie/auth/dto/UpdateProfileRequest.java index 919bf9a..08da851 100644 --- a/backend/src/main/java/pl/polskalokalnie/auth/dto/UpdateProfileRequest.java +++ b/backend/src/main/java/pl/polskalokalnie/auth/dto/UpdateProfileRequest.java @@ -1,11 +1,12 @@ package pl.polskalokalnie.auth.dto; import jakarta.validation.constraints.NotBlank; +import jakarta.validation.constraints.Size; import pl.polskalokalnie.user.ContactPreference; import pl.polskalokalnie.user.PreferredLanguage; public record UpdateProfileRequest( - @NotBlank String fullName, + @NotBlank @Size(max = 120) String fullName, // Pusty nick oznacza "nie zmieniaj" - dotychczasowa nazwa uzytkownika zostaje. String nick, String phone, diff --git a/backend/src/main/java/pl/polskalokalnie/listing/ListingDetailResponse.java b/backend/src/main/java/pl/polskalokalnie/listing/ListingDetailResponse.java index 7e38123..4a08a98 100644 --- a/backend/src/main/java/pl/polskalokalnie/listing/ListingDetailResponse.java +++ b/backend/src/main/java/pl/polskalokalnie/listing/ListingDetailResponse.java @@ -78,8 +78,8 @@ public record ListingDetailResponse( /** * Gdy {@code masked} jest true (ogloszenie z ukryta lokalizacja ogladane przez kogos innego niz * wlasciciel i administracja), z odpowiedzi znikaja ulica oraz numer budynku, a wspolrzedne sa - * przesuwane w obrebie obszaru. Przesuniecie liczymy z identyfikatora ogloszenia, wiec dla danej - * oferty jest zawsze takie samo - inaczej kolo skakaloby po mapie przy kazdym odswiezeniu. + * zastepowane srodkiem kratki siatki, w ktorej lezy adres - dla danej oferty zawsze tym samym, + * wiec kolo nie skacze po mapie przy kazdym odswiezeniu. * * Gdy {@code publicView} jest true (oglada ktos inny niz wlasciciel i administracja), znika adres * e-mail konta wlasciciela - zarowno ownerEmail, jak i contactEmail, ktory formularz wypelnia @@ -151,31 +151,33 @@ public record ListingDetailResponse( return district == null || district.isBlank() ? listing.getCity() : district + ", " + listing.getCity(); } - private static Double blurLat(PropertyListing listing) { + // Zamiast przesuniecia liczonego z (jawnego) identyfikatora ogloszenia - ktore dalo sie odwrocic + // i odzyskac dokladny adres - punkt jest przyciagany do srodka kratki siatki. Z odpowiedzi wiadomo + // tylko, w ktorej kratce lezy adres. Kratka ma bok rowny promieniowi kola, wiec najdalszy jej rog + // (~0,71 promienia od srodka) zawsze miesci sie w rysowanym obszarze, a punkt nie skacze po mapie. + private static final double GRID_CELL_M = APPROXIMATE_RADIUS_M; + + static Double blurLat(PropertyListing listing) { if (listing.getLat() == null) { return null; } - return listing.getLat() + (offsetMeters(listing) * Math.cos(offsetAngle(listing))) / METERS_PER_DEGREE; + return snapToCellCenter(listing.getLat(), GRID_CELL_M / METERS_PER_DEGREE); } - private static Double blurLng(PropertyListing listing) { + static Double blurLng(PropertyListing listing) { if (listing.getLng() == null || listing.getLat() == null) { return null; } - double parallel = METERS_PER_DEGREE * Math.cos(Math.toRadians(listing.getLat())); - if (parallel == 0) { + // Szerokosc kratki w stopniach dlugosci liczona dla srodka kratki szerokosci, a nie dla + // dokladnej szerokosci adresu - inaczej sam rozmiar kratki zdradzalby dokladne lat. + double parallel = METERS_PER_DEGREE * Math.cos(Math.toRadians(blurLat(listing))); + if (parallel <= 0) { return listing.getLng(); } - return listing.getLng() + (offsetMeters(listing) * Math.sin(offsetAngle(listing))) / parallel; + return snapToCellCenter(listing.getLng(), GRID_CELL_M / parallel); } - // Kierunek i dlugosc przesuniecia sa stale dla ogloszenia, a punkt zostaje w polowie promienia, - // wiec rzeczywisty adres zawsze miesci sie wewnatrz rysowanego kola. - private static double offsetAngle(PropertyListing listing) { - return Math.toRadians((listing.getId() * 137L) % 360); - } - - private static double offsetMeters(PropertyListing listing) { - return (listing.getId() * 53L) % (long) (APPROXIMATE_RADIUS_M / 2); + private static double snapToCellCenter(double value, double cellDegrees) { + return (Math.floor(value / cellDegrees) + 0.5) * cellDegrees; } } diff --git a/backend/src/main/java/pl/polskalokalnie/meeting/MeetingService.java b/backend/src/main/java/pl/polskalokalnie/meeting/MeetingService.java index 7cdbb51..f6fa1ef 100644 --- a/backend/src/main/java/pl/polskalokalnie/meeting/MeetingService.java +++ b/backend/src/main/java/pl/polskalokalnie/meeting/MeetingService.java @@ -90,6 +90,8 @@ public class MeetingService { } Conversation conversation = requireConversation(me, request.conversationId()); + // Zablokowany uzytkownik nie moze pisac - propozycja spotkania to tez wiadomosc w rozmowie. + conversationService.requireCanWrite(conversation, me); AppUser other = requireUser(conversation.otherParticipant(me.getId())); meeting.setConversationId(conversation.getId()); meeting.setListingId(conversation.getListingId()); @@ -212,6 +214,13 @@ public class MeetingService { if (request.date().isBefore(LocalDate.now())) { throw new ResponseStatusException(HttpStatus.BAD_REQUEST, "Nie można umówić spotkania w przeszłości"); } + // Limity kolumn w bazie - dluzszy tekst konczyl sie bledem 500 zamiast czytelnym komunikatem. + if (request.title().trim().length() > 160 + || (request.note() != null && request.note().trim().length() > 200) + || (request.location() != null && request.location().trim().length() > 200)) { + throw new ResponseStatusException(HttpStatus.BAD_REQUEST, + "Za długi tekst - nazwa do 160 znaków, notatka i miejsce do 200 znaków"); + } } private Conversation requireConversation(AppUser me, Long conversationId) { @@ -261,7 +270,11 @@ public class MeetingService { return "Konto usunięte"; } String name = user.getFullName(); - return name == null || name.isBlank() ? user.getEmail() : name; + if (name != null && !name.isBlank()) { + return name; + } + // Bez imienia - nick, jak w wiadomosciach. Adres e-mail (login) nie trafia do drugiej strony. + return user.getNick() != null ? user.getNick() : "Użytkownik"; } private static String trimOrNull(String value) { diff --git a/backend/src/main/java/pl/polskalokalnie/message/ConversationService.java b/backend/src/main/java/pl/polskalokalnie/message/ConversationService.java index ffe87ff..c330242 100644 --- a/backend/src/main/java/pl/polskalokalnie/message/ConversationService.java +++ b/backend/src/main/java/pl/polskalokalnie/message/ConversationService.java @@ -174,6 +174,8 @@ public class ConversationService { */ @Transactional public void appendMeetingNote(Conversation conversation, AppUser sender, String content) { + // Notatka niesie tekst od uzytkownika (miejsce spotkania) - podlega tej samej moderacji co wiadomosc. + textModerationService.validateOrThrow(content); Message message = new Message(); message.setConversationId(conversation.getId()); message.setSenderId(sender.getId()); @@ -264,6 +266,11 @@ public class ConversationService { return conversation; } + /** Blokada miedzy uczestnikami rozmowy obowiazuje tez poza wiadomosciami (np. propozycje spotkan). */ + public void requireCanWrite(Conversation conversation, AppUser me) { + requireNotBlocked(me.getId(), conversation.otherParticipant(me.getId())); + } + private void requireNotBlocked(Long meId, Long otherId) { if (userBlockRepository.existsByBlockerIdAndBlockedId(meId, otherId)) { throw new ResponseStatusException(HttpStatus.FORBIDDEN, "Zablokowałeś tego użytkownika. Odblokuj go, aby pisać."); diff --git a/backend/src/main/java/pl/polskalokalnie/notification/NotificationController.java b/backend/src/main/java/pl/polskalokalnie/notification/NotificationController.java index 83d5efe..999552f 100644 --- a/backend/src/main/java/pl/polskalokalnie/notification/NotificationController.java +++ b/backend/src/main/java/pl/polskalokalnie/notification/NotificationController.java @@ -16,15 +16,18 @@ import org.springframework.web.bind.annotation.RequestParam; import org.springframework.web.bind.annotation.RestController; import org.springframework.web.server.ResponseStatusException; import org.springframework.web.servlet.mvc.method.annotation.SseEmitter; +import pl.polskalokalnie.auth.JwtService; @RestController @RequestMapping("/api/notifications") public class NotificationController { private final NotificationService notificationService; + private final JwtService jwtService; - public NotificationController(NotificationService notificationService) { + public NotificationController(NotificationService notificationService, JwtService jwtService) { this.notificationService = notificationService; + this.jwtService = jwtService; } @GetMapping @@ -86,6 +89,15 @@ public class NotificationController { return created == null ? null : NotificationResponse.from(created); } + /** Krotki token do otwarcia strumienia (EventSource przekazuje go w adresie, nie w naglowku). */ + @PostMapping("/stream-token") + public StreamTokenResponse streamToken(Authentication authentication) { + return new StreamTokenResponse(jwtService.generateStreamToken(authentication.getName())); + } + + public record StreamTokenResponse(String token) { + } + @GetMapping(value = "/stream", produces = MediaType.TEXT_EVENT_STREAM_VALUE) public SseEmitter stream(Authentication authentication) { return notificationService.subscribe(authentication.getName()); diff --git a/backend/src/main/java/pl/polskalokalnie/promotion/AutoPayItnService.java b/backend/src/main/java/pl/polskalokalnie/promotion/AutoPayItnService.java index eb8eb1e..1669636 100644 --- a/backend/src/main/java/pl/polskalokalnie/promotion/AutoPayItnService.java +++ b/backend/src/main/java/pl/polskalokalnie/promotion/AutoPayItnService.java @@ -84,7 +84,7 @@ public class AutoPayItnService { } private String process(AutoPayItnParser.ItnTransaction tx) { - Optional"
@@ -64,6 +67,7 @@ public class MessageComposer {
return value
.replace("&", "&")
.replace("<", "<")
- .replace(">", ">");
+ .replace(">", ">")
+ .replace("\"", """);
}
}
diff --git a/backend/src/main/java/pl/polskalokalnie/user/UserRepository.java b/backend/src/main/java/pl/polskalokalnie/user/UserRepository.java
index b110e87..efe6e42 100644
--- a/backend/src/main/java/pl/polskalokalnie/user/UserRepository.java
+++ b/backend/src/main/java/pl/polskalokalnie/user/UserRepository.java
@@ -2,6 +2,9 @@ package pl.polskalokalnie.user;
import java.util.Optional;
import org.springframework.data.jpa.repository.JpaRepository;
+import org.springframework.data.jpa.repository.Modifying;
+import org.springframework.data.jpa.repository.Query;
+import org.springframework.data.repository.query.Param;
public interface UserRepository extends JpaRepository
Dzień dobry {{name}}!
", "X", 1L); + + assertThat(html).doesNotContain("href=\"https://evil\"").contains("<a href="https://evil">"); + } + + @Test + void nameInPlainTextCampaignIsEscaped() { + when(unsubscribeService.generateToken(any(), any())).thenReturn("t"); + + String html = composer.composeEmail("Dzień dobry {{name}}!", "Jan", 1L); + + assertThat(html).doesNotContain("Jan").contains("<b>Jan</b>"); + } +} diff --git a/frontend/src/notifications.tsx b/frontend/src/notifications.tsx index a72956a..0526012 100644 --- a/frontend/src/notifications.tsx +++ b/frontend/src/notifications.tsx @@ -107,7 +107,8 @@ export function NotificationsProvider({ children }: { children: ReactNode }) { .catch(() => { /* cicho - brak sieci/tokenu */ }); }, []); - // Ładowanie listy + realtime (SSE) gdy użytkownik zalogowany. Token w query param (EventSource nie ustawia nagłówków). + // Ładowanie listy + realtime (SSE) gdy użytkownik zalogowany. EventSource nie ustawia nagłówków, + // więc w adresie idzie krótki (60 s) token samego strumienia - nie token sesji, który trafiałby do logów. useEffect(() => { const token = getToken(); if (!user || !token) { @@ -118,22 +119,52 @@ export function NotificationsProvider({ children }: { children: ReactNode }) { refresh(); - const source = new EventSource(`/api/notifications/stream?access_token=${encodeURIComponent(token)}`); - source.addEventListener('notification', (event) => { + let disposed = false; + let source: EventSource | null = null; + let reconnectId: number | undefined; + + const connect = async () => { try { - const incoming = JSON.parse((event as MessageEvent).data) as ServerNotification; - setNotifications((current) => (current.some((item) => item.id === incoming.id) ? current : [incoming, ...current])); + const { token: ticket } = await apiFetch<{ token: string }>('/notifications/stream-token', { method: 'POST' }); + if (disposed) { + return; + } + source = new EventSource(`/api/notifications/stream?ticket=${encodeURIComponent(ticket)}`); + source.addEventListener('notification', (event) => { + try { + const incoming = JSON.parse((event as MessageEvent).data) as ServerNotification; + setNotifications((current) => (current.some((item) => item.id === incoming.id) ? current : [incoming, ...current])); + } catch { + /* ignoruj nieparsowalne zdarzenie */ + } + }); + // Token strumienia wygasa po minucie, więc samoczynne wznowienie EventSource pod tym samym + // adresem by nie zadziałało - po zerwaniu łączymy się od nowa z nowym tokenem. + source.onerror = () => { + source?.close(); + scheduleReconnect(); + }; } catch { - /* ignoruj nieparsowalne zdarzenie */ + scheduleReconnect(); } - }); - // onerror: EventSource sam ponawia połączenie. + }; + + const scheduleReconnect = () => { + if (!disposed) { + window.clearTimeout(reconnectId); + reconnectId = window.setTimeout(() => { void connect(); }, 5000); + } + }; + + void connect(); // Zapasowy polling na wypadek zerwanego SSE. const pollId = window.setInterval(refresh, 60000); return () => { - source.close(); + disposed = true; + source?.close(); + window.clearTimeout(reconnectId); window.clearInterval(pollId); }; }, [user, refresh]);