Skip to content

[PAV-132] Mitigar DOM XSS e aplicar CSP restritiva - #245

Merged
Benevanio merged 2 commits into
Cla-Code-Community:developfrom
Jovinull:feature/pav-132-csp-xss
Sep 7, 2026
Merged

[PAV-132] Mitigar DOM XSS e aplicar CSP restritiva#245
Benevanio merged 2 commits into
Cla-Code-Community:developfrom
Jovinull:feature/pav-132-csp-xss

Conversation

@Jovinull

@Jovinull Jovinull commented Aug 30, 2026

Copy link
Copy Markdown
Contributor

Linear

Issue: PAV-132

Branch flow

  • Este PR é uma feature/fix/chore destinada a develop.
  • Este PR não contém alteração direta ou fluxo indevido para master.
  • A branch foi criada a partir da base prevista pelo fluxo do projeto.

Objetivo

Reduzir o risco de XSS relatado no pentest, impedindo fontes e execuções não autorizadas no navegador e mantendo a documentação da API acessível com uma política específica.

Escopo

O que faz parte desta entrega:

  • CSP para os frontends distribuídos por Nginx e Vercel.
  • CSP restritiva para respostas da API.
  • Política restrita e isolada para /docs do Swagger.
  • Remoção do script inline de inicialização de tema.
  • Testes de regressão e documentação de segurança.

O que está fora do escopo:

  • Reprodução ou publicação de payloads do relatório.
  • Alteração dos contratos de API, banco de dados ou autenticação.

Resumo das alterações

  • Adiciona Content-Security-Policy e headers complementares aos frontends.
  • Restringe a API a respostas sem carregamento de recursos externos.
  • Mantém o Swagger funcional com exceção limitada à rota de documentação.
  • Move a inicialização de tema para um módulo externo.
  • Garante por teste que o renderizador de descrições não propaga atributos ativos, protocolos não permitidos ou iframes.
  • Documenta as regras em SECURITY.md.

Como testar

npm test --workspace=backend
npm test --workspace=frontend -- --run tests/unit/new_dashboard/jobs.test.tsx
npm run lint --workspace=frontend
npm run build --workspace=frontend
npm run build --workspace=front_admin

Validation

  • Testes relevantes executados.
  • Build executado quando aplicável.
  • Documentação atualizada.
  • Critérios de aceite do card foram conferidos individualmente.
  • Validação do Nginx em container: pendente, pois o Docker Desktop não estava em execução neste ambiente.

Evidências executadas:

  • Backend: 61 arquivos, 572 testes aprovados.
  • Frontend direcionado: 13 testes aprovados.
  • Frontend lint: sem erros; 1 aviso preexistente.
  • Build do frontend e do front_admin: aprovados.
  • A suíte completa do frontend apresentou uma falha intermitente preexistente em uma execução; o arquivo envolvido passou quando reexecutado isoladamente.
  • Lint do front_admin permanece com 4 erros preexistentes e fora do escopo desta entrega.

Impacto de banco / migration

  • Não altera schema nem migrations.

Impacto em contratos/API

  • Não altera endpoints, payloads ou schemas.

Impacto de configuração / infraestrutura

  • Altera configuração de headers em Nginx e Vercel.

Impacto de segurança

  • Impacto de segurança avaliado.

A implementação restringe fontes de conteúdo, reduz o impacto de injeções no cliente e preserva uma política controlada para o Swagger.

Impacto de dados pessoais / privacidade

  • Sem tratamento novo ou alteração de dados pessoais.

Compatibilidade / dependências

  • Não depende de outra task/PR.

Riscos

Uma CSP muito restritiva pode bloquear integrações futuras. As origens necessárias foram declaradas explicitamente e a documentação explica como incluir uma nova origem de forma controlada.

Rollback

Reverter este commit restaura os headers e o carregamento de tema anteriores, sem migração ou alteração de dados.

Checklist final

  • Escopo limitado ao card.
  • Não inclui segredos, .env, certificados ou tokens.
  • Não inclui arquivos temporários, builds, caches ou artefatos desnecessários.
  • Não executa deploy como efeito desta PR.

@Benevanio
Benevanio merged commit 1086986 into Cla-Code-Community:develop Sep 7, 2026
1 check passed
@github-project-automation github-project-automation Bot moved this from Backlog to Done in JobAtlas – Kanban Sep 7, 2026
Benevanio added a commit that referenced this pull request Sep 28, 2026
@Benevanio
release: consolida entregas de segurança, API, candidaturas e dashboa…
008fda0 
…rd (#253)

## Release

Promoção da branch `develop` para `master`, consolidando 26 commits e 49
arquivos alterados.

## Objetivo

Disponibilizar em produção as entregas recentes de segurança,
versionamento da API, notas privadas por candidatura, melhorias no
dashboard e ajustes de confiabilidade/documentação.

## Escopo

Inclui as entregas das PRs `#234`, `#239`, `#242`, `#245`, `#246`,
`#250` e `#252`.

### API e documentação

- Adicionado o prefixo versionado `/api/v1` para os endpoints da API.
- Mantidas temporariamente as rotas sem prefixo para compatibilidade com
clientes existentes.
- Expandida a documentação OpenAPI/Swagger com schemas, respostas,
exemplos e endpoints principais.
- Atualizado o README com a estratégia de versionamento da API.

### Segurança

- Aplicado rate limit ao `POST /auth/register`, por IP e por e-mail.
- Endurecido o fallback de CORS em produção, sem permitir `localhost`
quando `CORS_ALLOWED_ORIGINS` não estiver configurada.
- Adicionado HSTS para tráfego HTTPS/produção.
- Aplicada CSP restritiva na API, frontend, painel administrativo, Nginx
e Vercel.
- Removido script inline de bootstrap do tema para compatibilidade com
CSP.
- Reforçada a renderização segura de descrições de vagas, bloqueando
atributos ativos, `iframe` e protocolos não permitidos.

### Candidaturas e dashboard

- Adicionado suporte a múltiplas notas privadas por candidatura.
- Criada a tabela `application_notes`, com migration, índices e remoção
em cascata.
- Disponibilizados endpoints autenticados para listar, criar, editar e
remover notas de vagas salvas.
- Garantido isolamento por usuário e ownership da vaga em todas as
operações de notas.
- Reorganizado o detalhe da candidatura com tiles para local,
modalidade, nível, fonte, salário e match.
- Removida a duplicação entre os dados principais e o bloco de detalhes
adicionais.
- Mantida compatibilidade com o campo legado de nota única para vagas
não rastreadas.

### Autenticação e confiabilidade

- Corrigidos tipos e fallbacks no envio de e-mail de boas-vindas.
- Validado `provider` como valor escalar antes da desconexão de contas
OAuth.
- Ajustado o timeout de teste de inicialização do servidor sob execução
completa da suíte.

### Documentação e fluxo de contribuição

- Adicionado template padrão de Pull Request.
- Atualizados `README.md`, `BACKEND.md` e `SECURITY.md`.
- Documentadas variáveis de ambiente de CORS e rate limiting.
- Registradas especificação, validação e handoff da PAV-92.

## Impacto de banco / migration

- [x] Altera schema e migrations.

Inclui a migration `0014_hard_korath`, que cria `application_notes` e
seus índices/foreign keys. A migration deve ser aplicada antes da
disponibilização do backend em produção.

## Impacto em contratos/API

- [x] Altera endpoint e comportamento de API.

A API passa a expor os endpoints em `/api/v1`. As rotas legadas sem
prefixo permanecem disponíveis temporariamente para evitar quebra
imediata de clientes.

Também foram adicionados endpoints de notas privadas em:

- `GET /saved-jobs/:id/notes`
- `POST /saved-jobs/:id/notes`
- `PATCH /saved-jobs/:id/notes/:noteId`
- `DELETE /saved-jobs/:id/notes/:noteId`

## Impacto de configuração / infraestrutura

- [x] Altera configuração de segurança.

A produção deve revisar:

- `CORS_ALLOWED_ORIGINS`
- `AUTH_RATE_LIMIT_IP_MAX`
- `AUTH_RATE_LIMIT_ACCOUNT_MAX`
- `AUTH_RATE_LIMIT_WINDOW_SECONDS`
- Headers CSP configurados em Nginx e Vercel

## Validação

As PRs de origem possuem cobertura automatizada para:

- Versionamento `/api/v1` e contrato Swagger.
- Rate limiting, CORS e HSTS.
- CSP e sanitização de conteúdo externo.
- CRUD e isolamento de notas privadas.
- Detalhe de candidatura e regressões de interface.
- Tipagem de autenticação e desconexão de provedores.

Também foram executados testes, lint e builds de backend/frontend nos
fluxos de origem.

## Riscos

- A aplicação de `0014_hard_korath` é obrigatória antes do deploy do
backend.
- Clientes devem migrar gradualmente para `/api/v1`; as rotas legadas
continuam disponíveis nesta etapa.
- CSP e CORS restritivos podem bloquear integrações externas não
declaradas.
- A PR está divergente de `master`; sincronizar a base com os dois
commits pendentes e revalidar os checks antes do merge.

## Rollback

O rollback pode ser realizado revertendo o merge da release.

Caso a migration já tenha sido aplicada, a reversão do código deve
preservar a tabela `application_notes` até que exista uma migration
reversa planejada, evitando perda de notas já criadas.

## Checklist final

- [x] Consolida entregas de `develop` para `master`.
- [x] Inclui alterações de API, banco, segurança, frontend e
documentação.
- [x] Mantém compatibilidade temporária com rotas legadas.
- [x] Possui migrations a serem aplicadas antes do deploy.
- [x] Sincronizar `develop` com os commits pendentes de `master`.
- [ ] Confirmar todos os checks da PR antes do merge.
Sign up for free to join this conversation on GitHub. Already have an account? Sign in to comment

Reviewers

@Benevanio Benevanio Benevanio approved these changes
@lima300 lima300 Awaiting requested review from lima300
@nayarakarinesilva nayarakarinesilva Awaiting requested review from nayarakarinesilva nayarakarinesilva is a code owner
@hltav hltav Awaiting requested review from hltav hltav is a code owner

Assignees

No one assigned

Labels

None yet

Projects

None yet

Milestone

No milestone

Development

Successfully merging this pull request may close these issues.

2 participants

@Jovinull @Benevanio