3 Commits

Include renames

Author	SHA1	Message	Date
Nick SzaunigandClaude Opus 5.5	0d254db867	fix: Client-IP-Ermittlung härten (CF-Connecting-IP, X-Real-IP) ... CF-Connecting-IP wird nur noch als öffentliche Unicast-Adresse akzeptiert (kein 0/8, 10/8, 100.64/10, 127/8, 169.254/16, 172.16/12, 192.168/16, 240/4 "Pseudo IPv4", 255.255.255.255, ::, ::1, fc00::/7, fe80::/10 sowie IPv4-gemappte Formen); sonst gilt die Gegenstelle aus X-Forwarded-For. Der X-Real-IP-Fallback gilt nur noch außerhalb von Produktion. In Produktion ohne X-Forwarded-For wird "unknown" geliefert. Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>	2026-10-12 11:19:21 +02:00
Nick SzaunigandClaude Opus 5.5	5a8ff27090	fix(security): Rate-Limits zaehlen IPv6 je /64-Netz ... Seit CF-Connecting-IP gilt, sieht der Limiter echte IPv6-Adressen. Ein Anschluss bekommt meist ein ganzes /64 und koennte durch Adresswechsel jedes Limit umgehen (Login, 2FA, Checkout). getClientIp liefert IPv6 deshalb als /64-Praefix, IPv4-gemappte Adressen wie IPv4 (wie VyCept, #94). Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>	2026-10-12 09:59:09 +02:00
Nick SzaunigandClaude Opus 5.5	946745c064	fix(security): Rate-Limits je Besucher statt je Cloudflare-Edge ... wabenhain.com laeuft ueber Cloudflare. Der letzte X-Forwarded-For-Eintrag ist dann die Cloudflare-Edge, die sich viele Besucher teilen: Login-, 2FA- und Checkout-Limits trafen alle Besucher derselben Edge gemeinsam, ein einzelner konnte andere aussperren. resolveClientIp nimmt CF-Connecting-IP, wenn die Gegenstelle eine Cloudflare-Edge ist; sonst wie bisher den letzten Eintrag (beim Direktzugriff ist CF-Connecting-IP faelschbar und zaehlt nicht). Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>	2026-10-12 09:54:01 +02:00