Files
termanager2/app/Livewire/Proclamatori/ProclamatoreIndex.php
francesco 0502fad996 Correggi bug di sicurezza e integrita' dei dati
I due piu' gravi potevano causare perdita di dati silenziosa.

AppServiceProvider chiamava key:generate --force a ogni richiesta quando
APP_KEY risultava vuota. Poiche' nome e cognome dei proclamatori sono
cifrati con quella chiave, ogni riga scritta sotto una chiave poi
sostituita diventava irrecuperabile. La chiave e' ora risolta una sola
volta all'avvio del container e il provider solleva un'eccezione se manca,
invece di rigenerarla.

importTerritoryPdfFolder() caricava i PDF, costruiva l'elenco dei file e
poi lo scartava senza mai accodare il job: nessun errore, nessun territorio
aggiornato, e i file restavano su disco a crescita illimitata perche' la
pulizia viveva solo nel finally del job mai eseguito.

Sicurezza:
- i permessi non venivano riapplicati alle richieste /livewire/update, per
  cui un permesso revocato restava attivo fino al reload della pagina
- host header injection: nginx passava l'Host del client come
  X-Forwarded-Host e Laravel si fidava di tutti i proxy, abbastanza per far
  generare a route() link verso domini arbitrari, inclusi i PDF pubblici
  che contengono un codice di accesso valido
- lo schema forwarded e' ora deciso dal server e non dall'header del client
- campagna_id in Rientra e' #[Locked]: era derivato lato server ma
  manipolabile dal client, permettendo di conteggiare un rientro su una
  campagna arbitraria
- sortField del registro passava non validato a orderBy(), con 500 su
  colonna inesistente
- SESSION_SECURE_COOKIE ora vale true fuori da local
- limiti su dimensione e numero di voci negli import ZIP

Integrita' e prestazioni:
- il default di assignment_link_ttl_hours era rimasto 24 dopo la
  conversione da ore a mesi: i link PDF pubblici duravano due anni invece
  di uno mese
- il seeder usava syncPermissions(), che a un secondo giro azzerava i
  permessi personalizzati dei ruoli; ora e' additivo
- pdftoppm senza timeout poteva bloccare il worker indefinitamente
- nomi file deterministici nell'import: "1 A" e "1-A" scrivevano sullo
  stesso PDF, sovrascrivendosi
- Setting::flushCache() dopo le cancellazioni massive, che non emettono
  eventi e lasciavano la cache puntata a una riga inesistente
- riga settings creata dal seeder, per evitare due singleton concorrenti
- rimosse due migrazioni ridondanti che rompevano migrate:rollback
- indici su assigned_at, (attivo, deleted_at) e deleted_at
- risolti gli N+1 negli elenchi territori e proclamatori

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-07-19 16:49:42 +02:00

141 lines
4.7 KiB
PHP

<?php
namespace App\Livewire\Proclamatori;
use Livewire\Component;
use Livewire\WithPagination;
use App\Models\Proclamatore;
class ProclamatoreIndex extends Component
{
use WithPagination;
public string $search = '';
public string $filtroStato = '';
public string $sortField = 'cognome';
public string $sortDirection = 'asc';
protected $queryString = [
'search' => ['except' => ''],
'filtroStato' => ['except' => ''],
];
public function updatingSearch()
{
$this->resetPage();
}
public function updatingFiltroStato()
{
$this->resetPage();
}
public function sortBy(string $field)
{
if ($this->sortField === $field) {
$this->sortDirection = $this->sortDirection === 'asc' ? 'desc' : 'asc';
} else {
$this->sortField = $field;
$this->sortDirection = 'asc';
}
}
public function toggleActive(int $id)
{
$proclamatore = Proclamatore::findOrFail($id);
$proclamatore->update(['attivo' => !$proclamatore->attivo]);
}
public function deleteProclamatore(int $id)
{
$proclamatore = Proclamatore::findOrFail($id);
if ($proclamatore->assegnazioni()->aperte()->exists()) {
session()->flash('error', "Il proclamatore {$proclamatore->nome_completo} ha assegnazioni aperte. Rientra prima i territori.");
return;
}
$proclamatore->delete();
session()->flash('success', "Proclamatore {$proclamatore->nome_completo} spostato nel cestino.");
}
public function anonimizza(int $id)
{
$proclamatore = Proclamatore::findOrFail($id);
$proclamatore->anonimizza();
session()->flash('success', "Dati personali del proclamatore anonimizzati (GDPR).");
}
public function render()
{
// withCount rather than letting the view call
// ->assegnazioni()->aperte()->count() per row, which issued one
// COUNT(*) per displayed proclamatore on every render.
$query = Proclamatore::query()->withCount([
'assegnazioni as assegnazioni_aperte_count' => fn ($q) => $q->whereNull('returned_at'),
]);
if ($this->search !== '') {
// In-memory filter because nome/cognome are encrypted
$all = $query->get();
$filtered = $all->filter(function ($p) {
return str_contains(
mb_strtolower($p->nome . ' ' . $p->cognome),
mb_strtolower($this->search)
);
});
if ($this->filtroStato === 'attivo') {
$filtered = $filtered->where('attivo', true);
} elseif ($this->filtroStato === 'inattivo') {
$filtered = $filtered->where('attivo', false);
}
// Sort in-memory
$filtered = $filtered->sortBy(function ($p) {
return match ($this->sortField) {
'nome' => mb_strtolower($p->nome),
'cognome' => mb_strtolower($p->cognome),
default => mb_strtolower($p->cognome),
};
}, SORT_REGULAR, $this->sortDirection === 'desc');
// Manual pagination
$page = $this->getPage();
$perPage = 20;
$items = $filtered->slice(($page - 1) * $perPage, $perPage)->values();
$proclamatori = new \Illuminate\Pagination\LengthAwarePaginator(
$items, $filtered->count(), $perPage, $page,
['path' => request()->url()]
);
} else {
if ($this->filtroStato === 'attivo') {
$query->where('attivo', true);
} elseif ($this->filtroStato === 'inattivo') {
$query->where('attivo', false);
}
// cognome/nome encrypted, so sort in-memory
$all = $query->get()->sortBy(function ($p) {
return match ($this->sortField) {
'nome' => mb_strtolower($p->nome),
'cognome' => mb_strtolower($p->cognome),
default => mb_strtolower($p->cognome),
};
}, SORT_REGULAR, $this->sortDirection === 'desc');
$page = $this->getPage();
$perPage = 20;
$items = $all->slice(($page - 1) * $perPage, $perPage)->values();
$proclamatori = new \Illuminate\Pagination\LengthAwarePaginator(
$items, $all->count(), $perPage, $page,
['path' => request()->url()]
);
}
return view('livewire.proclamatori.proclamatore-index', [
'proclamatori' => $proclamatori,
]);
}
}