Adminator
5d94572569
Vorbereitung für pod-unabhängige Sessions (k8s-Ziel). Ändert am Live-System NICHTS: AUTH_BACKEND='session' bleibt Default, die neuen Libs sind noch nirgends verdrahtet. - composer eingeführt: firebase/php-jwt ^6.11 + predis/predis ^2.4 (pure PHP, keine Redis-Extension nötig → läuft auf XAMPP wie im Prod-Image). vendor/ committed (kein Composer auf dem Server). - Jwt.php: HS256-Access-Token (issue/verify), decode() IMMER mit explizitem Algorithmus (mitigiert Algorithmus-Confusion). 8/8 Tests grün. - SessionStore.php: predis-gestützter Session/Refresh-Store (sess:<sid>, Sliding-TTL, revoke=DEL) — die widerrufbare Session hinter dem kurzen JWT. - app.php: vendor/autoload (guarded), Konstanten AUTH_BACKEND (Default session), REDIS_URL, JWT_TTL, JWT_REFRESH_TTL. JWT_SECRET bewusst ohne Default. - docker-compose.dev.yml: Redis (+ redis-commander UI) für lokale Dev-Parität. - .env.example um Auth-Block ergänzt. Nächste Phasen: $_SESSION-Zugriffe (293) durch Session:: kanalisieren → Backend-Umschalter in Session.php → doppelgleisiger Cutover → Reporting auf student_id-FK ziehen. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
110 lines
4.7 KiB
PHP
110 lines
4.7 KiB
PHP
<?php
|
|
/**
|
|
* GeoGraSim — App Configuration
|
|
* Umgebungserkennung und Grundkonstanten
|
|
*/
|
|
|
|
// API-Antworten dürfen NIE durch PHP-Warnings/Deprecations korrumpiert werden.
|
|
// Production: Errors gehen ins Log, niemals in den Output (sonst zerbricht JSON).
|
|
// Local: Errors weiter sichtbar zum Debuggen.
|
|
$_isApiCall = strpos($_SERVER['REQUEST_URI'] ?? '', '/api/') !== false;
|
|
$_isProd = (($_SERVER['HTTP_HOST'] ?? '') !== 'localhost');
|
|
if ($_isApiCall || $_isProd) {
|
|
ini_set('display_errors', '0');
|
|
ini_set('display_startup_errors', '0');
|
|
error_reporting(E_ALL & ~E_DEPRECATED & ~E_USER_DEPRECATED);
|
|
ini_set('log_errors', '1');
|
|
}
|
|
|
|
// Umgebungserkennung via Hostname
|
|
$host = $_SERVER['HTTP_HOST'] ?? $_SERVER['SERVER_NAME'] ?? 'localhost';
|
|
// Docker-Container oder fehlender Host = Production wenn .env.production existiert
|
|
$envProdExists = file_exists(dirname(__DIR__, 2) . '/.env.production');
|
|
define('IS_PRODUCTION', $host !== 'localhost' || ($envProdExists && !file_exists(dirname(__DIR__, 2) . '/.env.local')));
|
|
|
|
// BASE_PATH: konfigurierbar per Host
|
|
// geograsim.at → /
|
|
// staatsgeheimnis.at/geograsim/ → /geograsim
|
|
// localhost/geograsim/App/ → /geograsim/App
|
|
if (strpos($host, 'geograsim.at') !== false) {
|
|
define('BASE_PATH', '');
|
|
define('BASE_URL', 'https://geograsim.at');
|
|
} elseif (strpos($host, 'staatsgeheimnis.at') !== false) {
|
|
define('BASE_PATH', '/geograsim');
|
|
define('BASE_URL', 'https://www.staatsgeheimnis.at/geograsim');
|
|
} else {
|
|
define('BASE_PATH', '/geograsim/App');
|
|
define('BASE_URL', 'http://localhost/geograsim/App');
|
|
}
|
|
define('APP_ROOT', dirname(__DIR__, 2));
|
|
|
|
// Composer-Autoloader (firebase/php-jwt, predis). Guard: erst ab dem
|
|
// JWT/Redis-Umbau vorhanden; fehlt er, läuft die App im Legacy-Session-Modus
|
|
// unverändert weiter.
|
|
if (is_file(APP_ROOT . '/vendor/autoload.php')) {
|
|
require_once APP_ROOT . '/vendor/autoload.php';
|
|
}
|
|
|
|
// Plattform-Limits — eine einzelne Sim-Session darf nie länger als 120 min
|
|
// dauern. Schützt DB vor absurden Werten (Tab über Nacht offen, Bug im
|
|
// Frontend-Zeit-Tracking, etc.). Backend-Cap ist defensive Garantie:
|
|
// auch wenn Frontend falsch rechnet, schreibt die DB max 7_200_000 ms.
|
|
// Idle-Pause vorgelagert im Frontend; dieser Cap ist die letzte Schranke.
|
|
if (!defined('GGS_MAX_SESSION_MS')) define('GGS_MAX_SESSION_MS', 7200000);
|
|
if (!defined('GGS_IDLE_THRESHOLD_MS')) define('GGS_IDLE_THRESHOLD_MS', 90000);
|
|
|
|
// .env laden
|
|
$envFile = IS_PRODUCTION
|
|
? APP_ROOT . '/.env.production'
|
|
: APP_ROOT . '/.env.local';
|
|
|
|
if (file_exists($envFile)) {
|
|
$lines = file($envFile, FILE_IGNORE_NEW_LINES | FILE_SKIP_EMPTY_LINES);
|
|
foreach ($lines as $line) {
|
|
$line = trim($line);
|
|
if ($line === '' || $line[0] === '#') continue;
|
|
if (strpos($line, '=') === false) continue;
|
|
[$key, $value] = explode('=', $line, 2);
|
|
$key = trim($key);
|
|
$value = trim($value);
|
|
if (!defined($key)) {
|
|
define($key, $value);
|
|
}
|
|
}
|
|
}
|
|
|
|
// Defaults fuer lokale Entwicklung (XAMPP)
|
|
if (!defined('DB_HOST')) define('DB_HOST', 'localhost');
|
|
if (!defined('DB_NAME')) define('DB_NAME', 'geograsim');
|
|
if (!defined('DB_USER')) define('DB_USER', 'root');
|
|
if (!defined('DB_PASS')) define('DB_PASS', '');
|
|
if (!defined('DB_PORT')) define('DB_PORT', '3306');
|
|
|
|
// ── Auth-Backend (JWT + Redis Migration) ────────────────────────────────
|
|
// 'session' = Legacy (native PHP-Session-Dateien, wie bisher) — DEFAULT,
|
|
// damit sich am Live-System NICHTS ändert, bis der Cutover steht.
|
|
// 'jwt' = JWT-Access-Token (HttpOnly-Cookie) + Redis-Session/Refresh.
|
|
if (!defined('AUTH_BACKEND')) define('AUTH_BACKEND', 'session');
|
|
if (!defined('REDIS_URL')) define('REDIS_URL', 'tcp://127.0.0.1:6379');
|
|
if (!defined('JWT_TTL')) define('JWT_TTL', 900); // Access-Token: 15 min
|
|
if (!defined('JWT_REFRESH_TTL')) define('JWT_REFRESH_TTL', 2592000); // Refresh/Session: 30 Tage
|
|
// JWT_SECRET hat BEWUSST keinen Default — muss in .env gesetzt sein, sobald
|
|
// AUTH_BACKEND='jwt'. Jwt.php wirft sonst eine klare Exception.
|
|
|
|
/**
|
|
* Cockpit-URL je nach Login-Status:
|
|
* - Lehrkraft eingeloggt → /teacher
|
|
* - Schueler*in eingeloggt → /schueler
|
|
* - sonst → / (Plattform-Startseite)
|
|
*
|
|
* Wird von Sim-Wrappern benutzt, um den Logo- und Home-Button in der Sim
|
|
* auf das richtige Ziel umzubiegen. Idempotent — kann mehrfach aufgerufen
|
|
* werden.
|
|
*/
|
|
function cockpit_href(): string {
|
|
if (session_status() === PHP_SESSION_NONE) @session_start();
|
|
if (!empty($_SESSION['teacher_id'])) return BASE_PATH . '/teacher';
|
|
if (!empty($_COOKIE['ggs_session'])) return BASE_PATH . '/schueler';
|
|
return BASE_PATH . '/';
|
|
}
|