Vícevrstvá obrana: CSRF, SQL Injection a ochrana proti Path Traversal

Vícevrstvá bezpečnostní architektura (Defense in Depth)

Bezpečnost webové aplikace nesmí spoléhat na jedinou ochrannou zeď. V profesionálním vývoji aplikujeme princip Defense in Depth (Hloubková obrana) — kombinaci síťové vrstvy (reverzní proxy Caddy / FrankenPHP), frameworkových middleware a striktní validace v aplikační doméně.

1. Ochrana na úrovni webového serveru (Caddyfile)

V našem kontejnerizovaném prostředí běží FrankenPHP se zabudovaným webserverem Caddy. Přímo v docker/Caddyfile vynucujeme zásadní bezpečnostní HTTP hlavičky:

header {
    X-Content-Type-Options nosniff
    X-Frame-Options SAMEORIGIN
    Referrer-Policy strict-origin-when-cross-origin
    -Server
}

Co jednotlivé direktivy dělají?

• X-Content-Type-Options nosniff: Zabraňuje prohlížeči odhadovat MIME typ souboru (tzv. MIME sniffing), což eliminuje zranitelnosti, kdy by útočník nahrál škodlivý JavaScript maskovaný jako obrázek.
• X-Frame-Options SAMEORIGIN: Chrání aplikaci před Clickjackingem tím, že zakazuje vkládat naše stránky do <iframe> na cizích doménách.
• Referrer-Policy strict-origin-when-cross-origin: Při přechodu na externí domény odesílá pouze název domény bez citlivé URL cesty a parametrů.
• -Server: Odstraňuje hlavičku identifikující přesnou verzi webserveru, čímž útočníkům ztěžuje cílené zneužití známých chyb (Security through Obscurity jako doplňková vrstva).

2. Ochrana proti CSRF (Cross-Site Request Forgery)

Laravel automaticky chrání všechny stav měnící požadavky (POST, PUT, PATCH, DELETE) ve skupině web middlewarem ValidateCsrfToken. Při každém vykreslení formuláře direktivou @csrf nebo při Livewire komunikaci framework vygeneruje kryptograficky bezpečný token svázaný se session uživatele:

<form action="{{ route('course.switch-profile') }}" method="POST">
    @csrf
    <input type="text" name="transfer_code" placeholder="AGY-XXXX-XXXX">
    <button type="submit">Obnovit profil</button>
</form>

Pokud útočník z jiné domény přiměje prohlížeč oběti odeslat POST požadavek, požadavek selže s chybou 419 Page Expired, protože cizí stránka nemůže token ze session oběti přečíst (Same-Origin Policy).

3. Ochrana proti SQL Injection v Eloquentu

Laravel Database Query Builder i Eloquent ORM interně využívají PDO Prepared Statements s parametrickým navazováním hodnot. Když napíšete:

StudentProfile::where('transfer_code', $userInput)->first();

Hodnota $userInput není nikdy přímo vložena (konkatenována) do SQL řetězce. Do PostgreSQL databázového enginu putuje samostatně parametrizovaný příkaz SELECT * FROM student_profiles WHERE transfer_code = $1 LIMIT 1 a hodnota $userInput je předána odděleně jako parametr $1. Tím je SQL Injection technicky znemožněna.

4. Ochrana proti Path Traversal v AnatomyInspectorService

Když aplikace umožňuje čtení souborů z disku, útočník se pokusí poslat cestu jako ../../../../etc/passwd nebo .env. V souboru app/Services/AnatomyInspectorService.php kombinujeme:

1. Zákaz fragmentů: Pole FORBIDDEN_FRAGMENTS okamžitě odmítne jakýkoliv výskyt .., .env, .git nebo vendor/.
2. Whitelist povolených adresářů: Soubor musí začínat bezpečným prefixem (app/, docker/, routes/ atd.).
3. Kanonizaci přes realpath(): Funkce realpath() přeloží všechny relativní skoky a symlinky na absolutní cestu na disku. Teprve po ověření, že výsledná cesta začíná řetězcem realpath(base_path()) . DIRECTORY_SEPARATOR, služba povolí soubor otevřít.