fix: hlavičky s identitou přijímat jen z důvěryhodných adres

server/src/index.ts

@@ -30,6 +30,7 @@ import groupRoutes from "./routes/groupRoutes";
 import storeRoutes from "./routes/storeRoutes";
 import butterflyRoutes from "./routes/butterflyRoutes";
 import { getConfettiCharacters, getConfettiImage } from "./confetti";
+import { getTrustedRemoteUser, parseTrustedIps } from "./trustedHeaders";
 import { getGroupLimits } from "./limits";
 
 const ENVIRONMENT = process.env.NODE_ENV ?? 'production';
@@ -55,12 +56,15 @@ app.use(cors({ origin: '*' }));
 
 const HTTP_REMOTE_USER_ENABLED = process.env.HTTP_REMOTE_USER_ENABLED === 'true' || false;
 const HTTP_REMOTE_USER_HEADER_NAME = process.env.HTTP_REMOTE_USER_HEADER_NAME ?? 'remote-user';
+let trustedProxies = parseTrustedIps('');
 if (HTTP_REMOTE_USER_ENABLED) {
     if (!process.env.HTTP_REMOTE_TRUSTED_IPS) {
         throw new Error('Je zapnutý login z hlaviček, ale není nastaven rozsah adres ze kterých hlavička může přijít.');
     }
     const HTTP_REMOTE_TRUSTED_IPS = process.env.HTTP_REMOTE_TRUSTED_IPS.split(',').map(ip => ip.trim());
     app.set('trust proxy', HTTP_REMOTE_TRUSTED_IPS);
+    // Hlavička s identitou se přijímá jen od těchto adres (kontrola skutečné adresy spojení)
+    trustedProxies = parseTrustedIps(process.env.HTTP_REMOTE_TRUSTED_IPS);
     console.log('Zapnutý login přes hlavičky z proxy.');
 }
 
@@ -157,14 +161,14 @@ app.get("/api/whoami", (req, res) => {
         delete req.headers["cookie"]
         console.log(req.headers)
     }
-    res.send(req.header(HTTP_REMOTE_USER_HEADER_NAME));
+    res.send(getTrustedRemoteUser(req, HTTP_REMOTE_USER_HEADER_NAME, trustedProxies) ?? '');
 })
 
 app.post("/api/login", (req, res) => {
     if (HTTP_REMOTE_USER_ENABLED) {
-        const remoteUser = req.header(HTTP_REMOTE_USER_HEADER_NAME);
+        const remoteUser = getTrustedRemoteUser(req, HTTP_REMOTE_USER_HEADER_NAME, trustedProxies);
         if (remoteUser && remoteUser.length > 0) {
-            res.status(200).json(generateToken(Buffer.from(remoteUser, 'latin1').toString(), true));
+            res.status(200).json(generateToken(remoteUser, true));
         } else {
             // Přihlašuje proxy (trusted headers) — bez hlavičky nejde o chybu serveru, ale o nepřihlášeného uživatele
             res.status(401).json({ error: 'Přihlášení probíhá přes firemní přihlášení (proxy), ale nepřišla identita uživatele. Zkuste stránku obnovit nebo se přihlásit znovu.' });
@@ -235,16 +239,13 @@ app.get("/api/confetti/image/:id", async (req, res, next) => {
 
 app.use("/api/", (req, res, next) => {
     if (HTTP_REMOTE_USER_ENABLED) {
-        const remoteUser = req.header(HTTP_REMOTE_USER_HEADER_NAME);
+        const remoteName = getTrustedRemoteUser(req, HTTP_REMOTE_USER_HEADER_NAME, trustedProxies);
         if (process.env.ENABLE_HEADERS_LOGGING === 'yes') {
             delete req.headers["cookie"]
             console.log(req.headers)
         }
-        if (remoteUser && remoteUser.length > 0) {
-            const remoteName = Buffer.from(remoteUser, 'latin1').toString();
-            if (ENVIRONMENT !== "production") {
-                console.log("Tvuj username: %s.", remoteName);
-            }
+        if (remoteName && ENVIRONMENT !== "production") {
+            console.log("Tvuj username: %s.", remoteName);
         }
     }
     if (!req.headers.authorization) {