security: harden admin external links

2026-09-12 21:26:51 +07:00
parent 9158ae3d8a
commit ca22042d18
4 changed files with 15 additions and 2 deletions
@@ -244,6 +244,8 @@ curl -H "Authorization: Bearer change-me-in-production" \

 Очередь модерации доступна по адресу <http://localhost:4321/admin/moderation>. Администратор вводит `ADMIN_TOKEN`; интерфейс держит его только в памяти открытой страницы и не сохраняет в URL или браузерном хранилище.

+В production HTML административных страниц дополнительно закрыт Caddy Basic Auth, а API независимо проверяет Bearer-токен. Интерфейс открывает только ссылки со схемой `http` или `https`; данные источника не могут подставить исполняемую URL-схему в ссылку или превью.
+
 Администратор может одобрить, отклонить или удалить сообщение. Удаление очищает ник, комментарий, исходную ссылку и объект скриншота, исключает запись из статистики, но сохраняет обезличенный факт действия в журнале аудита.

 ## Эксплуатация production