Fix: no-auth publicDownload, path traversal и приватизация лог-каналов

[jazz-max]

Что и зачем

Три независимых улучшения безопасности, не меняющих поведение UI.

1. Удалён публичный no-auth роут publicDownload

GET /public/files/{userId}/{servlet}/{file} отдавал файлы пользователей без авторизации (изоляция только по userId в URL — угадывается перебором). Во фронтенде не используется (grep files.public пуст) → роут и метод удалены.

2. Path traversal в download()

Роут servlet/{name}/download/{file} ловит {file} через where('file', '.*'), а путь строился конкатенацией без санитайза. Добавлен safePath() с realpath-containment: путь принимается только если не выходит за пределы out/ сервлета (в т.ч. защита от ../ и симлинков). Легитимные файлы во вложенных папках out/ продолжают работать.

3. Приватизация лог-каналов

Каналы servlet.{userId}.{name} были публичными (routes/channels.php пуст) — любой аутентифицированный пользователь, зная userId + ключ сервлета, мог подписаться на чужой лог-стрим.

• события ServletStarted/Log/Finished → PrivateChannel;
• routes/channels.php: авторизация по владельцу ((int) $user->id === $userId);
• фронт: Echo.channel() → Echo.private() (Show.vue, LogViewer.vue);
• добавлен <meta name="csrf-token"> в app.blade.php — laravel-echo использует его для авторизации приватного канала (POST /broadcasting/auth).

Тесты

tests/Feature/SecurityHardeningTest.php: удаление публичного роута, отдача своего файла, блокировка traversal, PrivateChannel + корректное имя канала.

⚠️ Замечания для мержа

• Тесты написаны, но не прогонялись локально (хост-PHP 8.3, проект требует 8.4) — прогнать composer test в 8.4-окружении / положиться на CI.
• Приватные каналы стоит проверить вживую (Reverb + логин): подписка на свой канал работает, на чужой — 403.

🤖 Generated with Claude Code