05 — Securitate & Auth

← 04 · README arhitectură

🔐 Autentificare

Web App

• Auth.js v5 (next-auth@5.0.0-beta) cu Drizzle adapter
• Sesiuni stocate în DB (tabela session), nu JWT-only — permite revocare instantanee
• Cookie next-auth.session-token:
  • HttpOnly ✓
  • Secure ✓ (în prod, peste HTTPS)
  • SameSite=Lax
  • Lifetime: 30 zile (configurabil în auth.ts)
• OAuth providers configurabili prin .env: Google, GitHub, etc.
• Rotation: refresh-token rotation gestionat de Auth.js

Companion ↔ Web App

• La pornire, companion-ul cere un device token la /api/companion-auth
• Token-ul e signed JWT cu issuer = web app, audience = companion, lifetime 7 zile
• Companion-ul îl include în Authorization: Bearer <token> la fiecare cerere
• Web app validează prin middleware înainte de a apela orice endpoint companion-aware

Extension ↔ Web App

• Extensia folosește session cookie existent (utilizatorul e deja logat în web app)
• Cererile sunt credentials: 'include'
• CORS în web app permite extensia: chrome-extension://<id> adăugat la Access-Control-Allow-Origin
• Pentru securitate suplimentară: extensia validează URL-ul web app (nu acceptă instalări lookalike)

🔑 Autorizare

• Server Actions verifică sesiunea înainte de orice mutație:

  const session = await auth();
  if (!session?.user?.id) throw new Error('Unauthorized');
  

• Endpoints REST (sub /api/*) folosesc același pattern
• Toate input-urile validate cu Zod la marginea sistemului
• DB queries filtrate prin WHERE userId = ? (multi-tenancy by row-level)
• Companion endpoints au scope limitat (no admin actions)

🔒 Secrets management

.gitignore (verificat)

.env
.env.local
.env.*.local
*.pem
*.p12
.terraform/
terraform.tfstate*

⚠️ TODO: app/.env.example este momentan lipsă. Trebuie adăugat cu toate variabilele documentate.

🛡️ Headere de securitate

Configurate în app/next.config.ts și/sau app/src/proxy.ts:

{
  'Strict-Transport-Security': 'max-age=63072000; includeSubDomains; preload',
  'X-Content-Type-Options': 'nosniff',
  'X-Frame-Options': 'DENY',
  'Referrer-Policy': 'strict-origin-when-cross-origin',
  'Permissions-Policy': 'camera=(), microphone=(self), geolocation=()',
  'Content-Security-Policy': "..."  // vezi mai jos
}

CSP — particularități MMO

Web app-ul are nevoi speciale care impun reguli CSP atente:

🌐 CORS

🔥 Validare & sanitizare

La marginea sistemului

• Toate Server Actions: Zod schema first thing
• Toate API routes: Zod schema first thing
• Toate body-uri JSON: parsare strict, fără JSON.parse(req.body as any)

File path security

• Companion-ul nu acceptă path-uri cu .. în orice request
• Path-urile sunt validate cu path.normalize() și verificate să fie sub root-ul configurat
• USB write operations: validare nume fișier (FAT32 reserved chars)

SQL injection

• Drizzle ORM folosește prepared statements automat
• Niciodată nu construim SQL string concat — eq(), and(), or() din Drizzle

XSS

• React JSX face escape automat
• dangerouslySetInnerHTML interzis prin lint rule
• User-generated content (numele playlistului, etc.) afișat doar prin {value}, nu prin innerHTML

🚦 Rate limiting

Implementare: TBD — momentan nu e rate limiting strict; planificat cu @upstash/ratelimit sau implementare manuală cu Redis/SQLite counter.

🛂 OWASP Top 10 — checklist MMO

🧪 Testing securitate

• pnpm audit blocant în CI pentru vulnerabilități high/critical
• Pre-commit hook: secret scanning (detect-secrets sau gitleaks)
• Penetration test manual înainte de release v1.0

🔮 Plan viitor

• Adăugare app/.env.example cu toate variabilele documentate
• WebAuthn / Passkeys (când Auth.js v5 stabilizează adapter-ul)
• 2FA pentru utilizatori sensibili
• Audit logs pentru acțiuni admin
• Rate limiting strict cu Redis
• CSP report-uri colectate (/api/csp-report)
• Bug bounty program (după v1.0)

← 04 · README arhitectură · 🏠 Home