fix(security): behebe F-01/F-02/W-03/W-04 aus Security-Audit + PROJ-24 TOTP 2FA

F-01: err.Error() wird nicht mehr an HTTP-Clients gesendet.
      Stattdessen generische Fehlermeldungen + Server-Log.
      Betrifft: handleCreateUser, handleUpdateUser, handleDeleteUser,
                handleSyncNow, handleSecurityConfig, handleUpload.

F-02: Login-Audit-Log enthält keinen rohen err.Error() mehr.
      Neue classifyLoginError() Funktion: invalid_password / ldap_error /
      account_disabled / unknown — schützt vor LDAP-Info-Leak via Audit-API.

W-03: remoteIP() trimmt jetzt Leerzeichen aus X-Forwarded-For.
      Vollständige Lösung erfordert Proxy-Konfiguration (W-03 bleibt WARN).

W-04: Attachment-Dateiname wird durch sanitizeFilename() bereinigt.
      Nur [a-zA-Z0-9._- ] erlaubt — verhindert Header-Injection.

PROJ-24: TOTP 2FA vollständig implementiert:
      - internal/auth/totp.go: GenerateSecret, ValidateTOTP, QRCodeSVG
      - internal/api/totp_handlers.go: Setup, Login-Step2, Admin-Reset
      - internal/userstore: SetTOTPSecret, EnableTOTP, DisableTOTP, ResetTOTP
      - Login-Flow: totp_pending JWT → /api/auth/totp → vollwertiger JWT
      - AES-256-GCM verschlüsseltes Secret in users.totp_secret

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

This commit is contained in:

sysops

2026-03-18 00:54:00 +01:00

parent 787db6638f

commit 2de340573b

14 changed files with 888 additions and 50 deletions

									
										internal/api/upload.go
									
		+2
		-1
	
												View File
												
				@@ -53,7 +53,8 @@ type uploadJobSnapshot struct {

				func (s *Server) handleUpload(w http.ResponseWriter, r *http.Request) {

					// 512 MB max total upload

					if err := r.ParseMultipartForm(512 << 20); err != nil {

						writeError(w, http.StatusBadRequest, "multipart parse failed: "+err.Error())

						s.logger.Error("multipart parse failed", "err", err)

						writeError(w, http.StatusBadRequest, "multipart parse failed")

						return

					}