Безопасность и production-границы

Действующие production-настройки

В сверенном Web config включён debug и заданы permissive CORS headers. Это development-настройки, не безопасный публичный deployment. Меняйте действующий config/app.php, а не неприменённый production.php overlay: debug=false, http_always_200=false, support_php_files=false; ограничьте http_headers/CORS реальными клиентами. Wildcard Allow-Origin нельзя сочетать с credentialed browser access. Проверяйте реальные headers через proxy.

Защита запросов и аккаунтов

Явно аутентифицируйте и авторизуйте каждое защищённое действие/ресурс. Для cookie-authenticated mutations нужна CSRF-защита, для ввода — schema/size validation, для вывода — encoding по контексту. Query bindings защищают SQL values; динамические identifiers выбирайте по allowlist. Не превращайте request paths, controller/template names и shell fragments в исполняемый код. Настройте secure HttpOnly cookie с осмысленным SameSite и учтите ограничение false-values Session bootstrap.

Файлы и внешние обращения

Uploads должны быть неисполнимыми и находиться вне доверенных templates/code. Проверяйте содержимое, ограничивайте image conversion, защищайте remote URL import от SSRF и авторизуйте скачивание. Явно задайте trusted proxies; не доверяйте forwarded IP/Host от произвольного клиента. Internal worker/register/admin listeners оставляйте приватными.

Ошибки, logs и приёмка

Возвращайте безопасные production errors; не логируйте пароли, токены, cookie, полные личные payloads и provider secrets. Сохраняйте корректные HTTP-коды. Helper response() и http_always_200 меняют status/envelope; для фиксированного контракта используйте явный responseJson.

Проверяйте lock и реальный startup/runtime, не только Composer constraints. Дефекты компонентов и placeholder plugins указаны на их страницах. Эти заметки не означают полный security audit. Для отчёта используйте SECURITY policy репозитория; приватные exploit details не отправляйте в публичный issue.

Startup/configuration · Session · Media · Совместимость. Источники: Web 9e2ab3e и Engine 89dac7f.