fix(config.sample): remove Host Header Injection risk in OAuth redirectUri + doc improvements by marpisco · Pull Request #122 · marpisco/ClassLink

marpisco · 2026-04-08T10:07:13Z

redirectUri was built from $_SERVER['HTTP_HOST'] without validation, enabling Host Header Injection in the OAuth flow. Reviewer comments also flagged hardcoded placeholder credentials and missing security guidance.

Changes

src/config.sample.php

Replace dynamic redirectUri with a static placeholder; add explicit comment warning against using $_SERVER['HTTP_HOST'] directly
Clear clientId/clientSecret values (were 'clientid'/'clientsecret') and replace example provider URLs with generic exemplo.dominio.pt placeholder
Add security note to keep clientSecret confidential

// IMPORTANTE: Manter o clientSecret confidencial e nunca o expor publicamente.
// O redirectUri deve ser um URL estático/configurado explicitamente — não use $_SERVER['HTTP_HOST']
// diretamente pois pode ser manipulado (Host Header Injection).
$provider = new GenericProvider([
    ...
    'clientId'     => '',
    'clientSecret' => '',
    'redirectUri'  => 'https://exemplo.dominio.pt/login'
]);

README.md

Qualify PHP 8.4 as recommended/tested version rather than a hard requirement
Re-add MariaDB/MySQL user setup step (lost in previous refactor), pointing to Manual do Técnico

…ncias. Simplificar o que deve ser simplificado.

remove english comments and put portuguese comments only. make the comments more clear. add a little bit of more information regarding the stuff that is in the configuration add reference to the future configuration that will be created in the docs file.

github-actions · 2026-04-08T10:07:25Z

📝 Manual Update Required? It looks like you've modified core logic. Please check if the user manual needs a refresh! @marpisco

Copilot

Pull request overview

Atualiza documentação e o ficheiro de configuração de exemplo do ClassLink (plataforma de reserva de salas/materiais), alinhando textos e reorganizando secções para refletir mudanças feitas em 08/04/2026.

Changes:

Reorganização e tradução/ajuste de comentários no src/config.sample.php (DB/email/OAuth).
Atualização do README.md para listar dependências (incluindo versão de PHP) e simplificar instruções.

Reviewed changes

Copilot reviewed 2 out of 2 changed files in this pull request and generated 6 comments.

File	Description
src/config.sample.php	Ajustes de documentação/configuração de exemplo para DB/email/OAuth (comentários e estrutura).
README.md	Atualiza a secção inicial para “Dependências” e altera requisitos/instruções de instalação.

src/config.sample.php

Copilot · 2026-04-08T10:10:59Z

src/config.sample.php

+        /// caso a autenticação seja por starttls, usar PHPMailer::ENCRYPTION_STARTTLS
+        /// caso a autenticação seja por ssl, usar PHPMailer::ENCRYPTION_SMTPS
+        /// caso não seja necessário autenticação, por false na opção autenticacao, e não importar-se para os outros


Os comentários usam /// nas linhas seguintes, enquanto o resto do ficheiro usa // e /* */. Em PHP /// não tem semântica especial (não é docblock) e pode confundir; sugiro normalizar para // ou um bloco /* ... */.

Suggested change

/// caso a autenticação seja por starttls, usar PHPMailer::ENCRYPTION_STARTTLS

/// caso a autenticação seja por ssl, usar PHPMailer::ENCRYPTION_SMTPS

/// caso não seja necessário autenticação, por false na opção autenticacao, e não importar-se para os outros

// caso a autenticação seja por starttls, usar PHPMailer::ENCRYPTION_STARTTLS

// caso a autenticação seja por ssl, usar PHPMailer::ENCRYPTION_SMTPS

// caso não seja necessário autenticação, por false na opção autenticacao, e não importar-se para os outros

Copilot · 2026-04-08T10:10:59Z

README.md

+- PHP 8.4
+- Servidor Web (recomendo o Caddy)
+- MariaDB ou MySQL (oficialmente recomendo o MariaDB)
 - Composer (para o Windows, descarregar [esta versão](https://getcomposer.org/Composer-Setup.exe))


O README fixa a dependência em PHP 8.4, mas o composer.json não declara um requisito de versão de PHP. Para evitar confusão/instalações falhadas, sugiro alinhar: ou documentar como "testado/recomendado" (indicando também o mínimo suportado) ou adicionar o constraint de PHP no composer.json.

Suggested change

- PHP 8.4

- Servidor Web (recomendo o Caddy)

- MariaDB ou MySQL (oficialmente recomendo o MariaDB)

- Composer (para o Windows, descarregar [esta versão](https://getcomposer.org/Composer-Setup.exe))

- PHP 8.4 (versão recomendada/testada)

- Servidor Web (recomendo o Caddy)

- MariaDB ou MySQL (oficialmente recomendo o MariaDB)

- Composer (para o Windows, descarregar [esta versão](https://getcomposer.org/Composer-Setup.exe))

- Usar uma versão de PHP compatível com as dependências resolvidas pelo Composer.

Copilot · 2026-04-08T10:11:00Z

README.md

+## Dependências

- Necessário um servidor com PHP e uma DB MariaDB
+- PHP 8.4
+- Servidor Web (recomendo o Caddy)
+- MariaDB ou MySQL (oficialmente recomendo o MariaDB)
 - Composer (para o Windows, descarregar [esta versão](https://getcomposer.org/Composer-Setup.exe))
 - Com o composer, fazer `composer install` através de um terminal, para instalar as dependências.
- Montar o utilizador usando as instruções [na wiki](https://github.com/marpisco/ClassLink/wiki/Configura%C3%A7%C3%A3o-MYSQL) (brevemente haverá mais documentação na Wiki)

 Informações específicas (e mais bem explicadas) estarão no Manual do Técnico.


Ao renomear a secção de instalação para "Dependências" foi removido o passo que apontava para as instruções de criação/configuração do utilizador MySQL/MariaDB. Se essa configuração continua necessária (criação do user/permissões), o README fica incompleto para uma instalação nova; sugiro reintroduzir um link/passo equivalente (Wiki/Manual do Técnico) nesta secção.

…stão Copilot) Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com>

github-actions · 2026-04-08T10:13:02Z

📝 Manual Update Required? It looks like you've modified core logic. Please check if the user manual needs a refresh! @marpisco

…stão Copilot) Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com>

github-actions · 2026-04-08T10:13:15Z

📝 Manual Update Required? It looks like you've modified core logic. Please check if the user manual needs a refresh! @marpisco

Copilot

Pull request overview

Copilot reviewed 2 out of 2 changed files in this pull request and generated 2 comments.

Copilot · 2026-04-08T10:16:12Z

src/config.sample.php

+        'servidor' => 'localhost',
+        'user' => 'reservasalas',
+        // Defina uma password forte antes de usar em produção e restrinja as permissões deste utilizador da DB ao mínimo necessário.
+        'password' => '',
+        'db' => 'reservasalas',


O config.sample.php ainda inclui uma password de base de dados hardcoded ('salaspass'). Mesmo sendo um ficheiro de exemplo, isto aumenta o risco de alguém usar credenciais fracas/iguais em produção e também expõe um valor que pode acabar reutilizado. Sugestão: deixar o valor vazio (ou placeholder) e reforçar no comentário que deve ser definido externamente e com permissões mínimas.

Copilot · 2026-04-08T10:16:13Z

src/config.sample.php

        'urlResourceOwnerDetails' => 'https://authentik.devenv.marcopisco.com/application/o/userinfo/',
-        'clientId'     => 'clientid',  // CHANGE THIS
-        'clientSecret' => 'clientsecret',  // CHANGE THIS and keep it secret
+        'clientId'     => 'clientid',
+        'clientSecret' => 'clientsecret',
        'redirectUri'  => 'https://' . $_SERVER['HTTP_HOST'] . '/login'


redirectUri é construído diretamente a partir de $_SERVER['HTTP_HOST'], o que pode abrir espaço a Host Header Injection (e redirecionamentos OAuth inesperados) se o Host não for validado. Sugestão: usar uma base URL fixa no config (ex.: variável de ambiente) ou reutilizar um helper que valide o host (ex.: getBaseUrl() já faz validação em func/email_helper.php).

marpisco · 2026-04-08T10:18:56Z

@copilot apply changes based on the comments in this thread

…th e melhorar README Agent-Logs-Url: https://github.com/marpisco/ClassLink/sessions/136a1ba0-355d-45b4-b974-2baa56a53dc5 Co-authored-by: marpisco <162377105+marpisco@users.noreply.github.com>

Copilot · 2026-04-08T10:26:47Z

@copilot apply changes based on the comments in this thread

Feito no commit db31569. As alterações aplicadas:

src/config.sample.php: substituído $_SERVER['HTTP_HOST'] por um URL estático de exemplo (https://exemplo.dominio.pt/login) no redirectUri, adicionado aviso de segurança sobre Host Header Injection e para manter o clientSecret confidencial; valores placeholder de clientId/clientSecret mudados para strings vazias.
README.md: versão de PHP clarificada como "recomendada/testada"; adicionada referência ao Manual do Técnico para a criação do utilizador/base de dados MariaDB/MySQL.

github-actions · 2026-04-08T10:31:53Z

📝 Manual Update Required? It looks like you've modified core logic. Please check if the user manual needs a refresh! @marpisco

marpisco added 2 commits April 8, 2026 10:48

docs(readme): Atualizar "instalação o básico" para ser apenas dependê…

102180b

…ncias. Simplificar o que deve ser simplificado.

Copilot AI review requested due to automatic review settings April 8, 2026 10:07

Copilot started reviewing on behalf of marpisco April 8, 2026 10:07 View session

Copilot AI reviewed Apr 8, 2026

View reviewed changes

feat(sample config): Atualizar documentação para ser mais clara (Suge…

c259c18

…stão Copilot) Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com>

Copilot AI review requested due to automatic review settings April 8, 2026 10:12

feat(sample config): Atualizar documentação para ser mais clara (Suge…

d574a8b

…stão Copilot) Co-authored-by: Copilot <175728472+Copilot@users.noreply.github.com>

Copilot started reviewing on behalf of marpisco April 8, 2026 10:13 View session

Copilot AI reviewed Apr 8, 2026

View reviewed changes

Copilot started work on behalf of marpisco April 8, 2026 10:19 View session

fix(config sample): corrigir Host Header Injection no redirectUri OAu…

db31569

…th e melhorar README Agent-Logs-Url: https://github.com/marpisco/ClassLink/sessions/136a1ba0-355d-45b4-b974-2baa56a53dc5 Co-authored-by: marpisco <162377105+marpisco@users.noreply.github.com>

Copilot AI changed the title ~~docs(readme): atualizar os documentos, data 08/04/2026~~ fix(config.sample): remove Host Header Injection risk in OAuth redirectUri + doc improvements Apr 8, 2026

Copilot finished work on behalf of marpisco April 8, 2026 10:29

marpisco merged commit 5d7ca50 into main Apr 8, 2026
3 checks passed

Conversation

marpisco commented Apr 8, 2026 • edited by Copilot AI Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Changes

Uh oh!

github-actions bot commented Apr 8, 2026

Uh oh!

Copilot AI left a comment

Choose a reason for hiding this comment

Pull request overview

Reviewed changes

Uh oh!

Uh oh!

Uh oh!

Uh oh!

Copilot AI Apr 8, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 8, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 8, 2026

Choose a reason for hiding this comment

Uh oh!

github-actions bot commented Apr 8, 2026

Uh oh!

github-actions bot commented Apr 8, 2026

Uh oh!

Copilot AI left a comment

Choose a reason for hiding this comment

Pull request overview

Uh oh!

Copilot AI Apr 8, 2026

Choose a reason for hiding this comment

Uh oh!

Copilot AI Apr 8, 2026

Choose a reason for hiding this comment

Uh oh!

marpisco commented Apr 8, 2026

Uh oh!

Copilot AI commented Apr 8, 2026

Uh oh!

github-actions bot commented Apr 8, 2026

Uh oh!

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

3 participants

marpisco commented Apr 8, 2026 •

edited by Copilot AI

Loading