feat: popup quảng cáo, đặt lại mật khẩu bằng token 80 ký tự, 2FA email, vá lỗ hổng bảo mật

- Popup/banner quảng cáo cấu hình từ admin (loại, link, lịch hiển thị)
- Đặt lại mật khẩu: token 80 ký tự kèm check digit Luhn thay cho token+email lộ trong URL, chỉ lưu bản băm, một lần dùng, hết hạn 60 phút
- Xác thực 2 lớp qua email khi đăng nhập (mã 6 số, ghi nhớ thiết bị 90 ngày)
- ApiAuthCheck chặn ngay tài khoản bị khoá dù JWT còn hạn (trước đây dùng được tới hết TTL)
- Handler trả 404 thay vì 500 khi ModelNotFoundException không bọc HttpException
- Test ClientTamperingTest: xác nhận IDOR/giả mạo dữ liệu từ client đều bị chặn

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

This commit is contained in:

baodev0

2026-10-13 13:23:33 +07:00

co-authored by

Claude Sonnet 5

parent e888a6ed5d

commit 12d5b4951c

33 changed files with 1499 additions and 51 deletions

									
										app/Http/Requests/Api/Client/ClientAuthRequest.php
									
		+2
		
												View File
												
				@@ -31,6 +31,8 @@ class ClientAuthRequest extends FormRequest

				                'string',

				                'min:6'

				            ],

				            'device_token' => ['nullable', 'string', 'max:128'],

				        ];

				    }