Karin

README.md

@@ -1 +1,2 @@
-# yh-message-app-fullstack
+# yh-message-app-fullstack
+Lagt till en fil med sammanfattning över de ändringar och förslag jag gjort för att uppfylla säkerhetskraven. Se filen fas2.md

backend/middleware/auth.js

@@ -7,7 +7,7 @@ export const authenticateUser = async (req, res, next) => {
     return res.status(401).json({ success: false, message: "No token provided" })
   }
   try {
-    const decoded = jwt.verify(token, process.env.JWT_SECRET)
+    const decoded = jwt.verify(token, process.env.JWT_SECRET, { algorithms: ["HS256"] }) //fas 3: Låser verifieringen till algoritmen HS256 så att tokens inte kan godkännas med "none"-algoritm eller annan algoritm. 
     const user = await User.findById(decoded.userId)
     if (!user) {
       return res.status(401).json({ success: false, message: "User not found" })

backend/middleware/rateLimiter.js

@@ -0,0 +1,17 @@
+import rateLimit from "express-rate-limit"
+
+export const loginLimiter = rateLimit({
+  windowMs: 15 * 60 * 1000,
+  max: 5,
+  message: { success: false, message: "Too many login attempts, please try again after 15 minutes" }
+})
+
+// Säkerhetskrav 6. Här har jag lagt in en funktion loginLimiter som använder express-rate-limit för att begränsa antalet inloggningsförsök till 5 per 15 minuter. Sedan använder jag loginLimiter som middleware i server.js: app.post("/login") för att tillämpa denna begränsning på inloggningsförsöken.
+
+
+// fas 3: Efter att ha använt CodeQL och hittat sårbarheter la jag till ytterligare en limiter för att använda på övriga endpoints som gör databasanrop. Annars kan en angripare skicka tusentals requests per sekund och överlasta databas/server. Satte ett högre tak än loginLimiter eftersom 5 anrop på 15 minuter skulle göra appen oanvändbar på tex /messages GET/POST/PATCH/DELETE. 
+export const generalLimiter = rateLimit({
+  windowMs: 15 * 60 * 1000, // 15 minuter
+  max: 100,                  // 100 requests per 15 min per IP
+  message: { success: false, message: "Too many requests, please try again later" }
+})

backend/models/Message.js

@@ -1,15 +1,18 @@
 import mongoose from "mongoose"
 
+// Här stoppas att databasen sparar inlägg som är för korta eller för långa. Del av säkerhetskrav 10. 
 const messageSchema = new mongoose.Schema({
   message: {
     type: String,
-    required: true
+    required: true,
+    minlength: 3,
+    maxlength: 140
   },
   user: {
     type: mongoose.Schema.Types.ObjectId,
     ref: "User",
   },
-createdAt: {
+  createdAt: {
     type: Date,
     default: Date.now,
   },