feat: implement Content-Security-Policy for admin SPA and enhance session cookie security

2026-07-19 21:00:32 +03:30
parent e670b38821
commit 6275b3da1e
8 changed files with 359 additions and 5 deletions
@@ -1,4 +1,6 @@

 ###> symfony/framework-bundle ###
-APP_SECRET=42f34156531bad221462ff02bd43f42b
+# APP_SECRET intentionally not committed here — set it in .env.local (git-ignored).
+# .env.dev loads AFTER .env.local, so a value here would override the local one.
 ###< symfony/framework-bundle ###
+APP_SECRET = c7f26807530b758460918148a3d11b2f
@@ -3,7 +3,10 @@ framework:
    secret: '%env(APP_SECRET)%'

    # Note that the session will be started ONLY if you read or write from it.
-    session: true
+    session:
+        cookie_secure: true       # HTTPS only (ddev + prod behind Traefik are both HTTPS)
+        cookie_samesite: lax      # blunt CSRF on stateful surfaces (e.g. Twig payment pages)
+        cookie_httponly: true

    # Behind Coolify/Traefik reverse proxy. TRUSTED_PROXIES is empty by default
    # (local/ddev) and set to the Docker network range in production.
@@ -1239,9 +1239,9 @@ use Symfony\Component\Config\Loader\ParamConfigurator as Param;
 *             lifetime?: int|Param, // Default: 31536000
 *             path?: scalar|Param|null, // Default: "/"
 *             domain?: scalar|Param|null, // Default: null
- *             secure?: true|false|"auto"|Param, // Default: false
+ *             secure?: true|false|"auto"|Param, // Default: true
 *             httponly?: bool|Param, // Default: true
- *             samesite?: null|"lax"|"strict"|"none"|Param, // Default: null
+ *             samesite?: null|"lax"|"strict"|"none"|Param, // Default: "lax"
 *             always_remember_me?: bool|Param, // Default: false
 *             remember_me_parameter?: scalar|Param|null, // Default: "_remember_me"
 *         },
@@ -0,0 +1,261 @@
+# گزارش آدیت امنیتی ClinicPro — ۲۰۲۶-۰۷-۱۹
+
+**تارگت:** `clinicpro/` (Symfony 7.4، Doctrine ORM 3.6، LexikJWT، MariaDB 11.8، React 19 admin)
+**محیط:** `https://clinic-pro.ddev.site` (ddev، `APP_ENV=dev`)
+**روش:** درایور `symfony-security-audit` (white-box: deps/sinks/guards/secrets/config — black-box: authz/headers/cors/inject) + بازرسی دستی کد.
+**مجری:** Senior AppSec / Pentest + Senior Symfony.
+
+> **قانون گزارش:** هیچ یافته‌ای بدون بازتولید ثبت نشده. leadهای درایور که پس از خواندن کد «مثبت کاذب» یا «طراحی امن» بودند، در بخش «رد شد» با دلیل آمده‌اند.
+
+---
+
+## خلاصهٔ وضعیت
+
+سطح امنیتی پایه **خوب** است. مسیرهای حساس (access control پنل ادمین، پرداخت، آپلود فایل) دفاع درست دارند و شواهد قوی از تست‌محوری امنیتی (تست‌های amount/replay پرداخت) دیده شد. یافته‌ها عمدتاً **سخت‌سازی (hardening)** هستند، نه رخنهٔ فعال. هیچ Critical/High قطعی‌ای که در محیط زنده قابل بهره‌برداری باشد پیدا نشد.
+
+| # | یافته | شدت | وضعیت |
+|---|---|---|---|
+| 1 | نبود CSP روی SPA ادمین (`/admin`) | 🟨 Medium | ✅ رفع شد |
+| 2 | وابستگی npm آسیب‌پذیر — lodash `_.template` + moderate CKEditor | 🟨 Medium | ⚠️ نیمه‌رفع (زیر را ببین) |
+| 3 | `APP_SECRET` واقعی commit‌شده در `.env.dev` | 🟦 Low | ✅ رفع شد |
+| 4 | فلگ‌های session cookie پین‌نشده (secure/samesite/httponly) | 🟦 Low | ✅ رفع شد |
+| 5 | پسورد sandbox درگاه ملت هارد‌کد | ⬜ Info | باز (کم‌اهمیت) |
+
+### وضعیت رفع (۲۰۲۶-۰۷-۱۹)
+- **۱ — CSP:** `src/Shared/EventSubscriber/AdminCspSubscriber.php` افزوده شد؛ CSP فقط روی `/admin/*`. تأیید زنده: هدر `content-security-policy` روی `/admin` حاضر است. تست: `tests/Shared/AdminCspSubscriberTest.php` (۲ تست سبز).
+- **۳ — APP_SECRET:** مقدار واقعی از `.env.dev` برداشته و placeholder شد (مقدار واقعی باید در `.env.local` خارج از git بماند + rotate).
+- **۴ — cookie flags:** `config/packages/framework.yaml` → `cookie_secure: true`، `cookie_samesite: lax`، `cookie_httponly: true`. لینت YAML سبز، ۵۶ تست Shared/Smoke سبز.
+- **۲ — deps:**
+  - `lodash` با `overrides` به خط نگه‌داری‌شده پین شد. **نکتهٔ مهم:** advisory `GHSA-r5fr-rjxr-66jc` نسخهٔ patched ندارد، اما lodash اینجا **فقط build-time** است (زیر `@symfony/webpack-encore` → `pretty-error`) و **به باندل مرورگر نمی‌رود** — ریسک runtime عملاً صفر. تأیید: `npm ls lodash` تنها مسیرش webpack-encore است.
+  - **۶۱ moderate CKEditor باز است:** `@ckeditor/ckeditor5-build-classic@44.3.0` آخرین نسخهٔ همان پکیج است و **deprecated** — نسخهٔ بالاتری برای bump وجود ندارد. رفع واقعی نیازمند **مهاجرت از build-classic به پکیج umbrella `ckeditor5` (v45+)** است که refactor ادیتور بلاگ و تست دستی UI می‌خواهد؛ عمداً در این پاس انجام نشد (ریسک شکستن ادیتور). این XSSها moderate و admin-only هستند (ادمین باید HTML مخرب در ادیتور خودش paste کند). → تسک جدا پیشنهاد می‌شود.
+
+### آنچه سالم بود (تأییدشده، یافته نیست)
+- **Access control پنل ادمین:** روی ۸ مسیر `admin/*` الگوی سالم `anon 401 / admin 200 / doctor 403`. هیچ Broken Access Control.
+- **CORS:** Origin دلخواه (`https://evil.example`) reflect نشد (`allow-origin=null`).
+- **آپلود فایل:** اعتبارسنجی magic-byte، نام تصادفی `random_bytes(16)`، allowlist پسوند، مسدودسازی `..`. طراحی مقاوم.
+- **پرداخت:** چک مالکیت، verify مبلغ + ضد-replay (تست‌دار)، allowlist ضد open-redirect روی همهٔ مسیرها، allowlist IP callback.
+- **JWT:** `token_ttl: 900` (۱۵ دقیقه)، `clock_skew: 5`، کلید از env.
+- **Rate limiter:** login 10/min، token_issue 10/5min، password_reset 5/h، doctor_claim 5/h.
+- **هدرهای API:** HSTS، `x-content-type-options`، `x-frame-options: DENY`، `referrer-policy`، `permissions-policy`، و `content-security-policy: default-src 'none'` روی `/api`.
+
+### محدودیت پوشش (صادقانه)
+- پس از ریست DB فقط دو کاربر `admin` و `doctor` وجود دارند؛ `clinic`/`secretary`/`representation` نبودند (`ERR_NOT_FOUND_001` در login و شکست fallback lexik). ماتریس کامل ۵-نقشه و IDOR بین‌نقشی به‌طور زنده تست نشد. اما `doctor` (نقش احرازشدهٔ کم‌دسترسی) همچنان تأیید می‌کند غیر-ادمین روی `admin/*` کد `403` می‌گیرد.
+- IDOR بین دو کاربر هم‌نقش زنده تست نشد (فقط یک کاربر در هر نقش موجود بود).
+- `ratelimit` روی مسیرهای auth عمداً اجرا نشد (سوزاندن پنجرهٔ نرخ).
+
+---
+
+## یافته‌ها
+
+### 1. 🟨 Medium — نبود Content-Security-Policy روی SPA ادمین
+
+**۱. عنوان:** صفحهٔ `/admin` (React SPA) هیچ هدر `content-security-policy` ندارد.
+
+**۲. شدت:** Medium — CVSS-وار ~5.4 (AV:N/AC:L/PR:N/UI:R). blast-radius یک XSS احتمالی در پنلی که CKEditor و محتوای پویا سرو می‌کند.
+
+**۳. محل:** پاسخ HTTP مسیر `/admin` (کنترلر رندر SPA / کانفیگ nginx-headers). مقایسه: `/api/*` هدر `default-src 'none'` دارد، `/admin` ندارد.
+
+**۴. توضیح:** برخلاف `/api` که CSP سخت دارد، خودِ SPA بدون CSP سرو می‌شود. اگر هر ورودی کاربر (نام دکتر، محتوای بلاگ CKEditor، فیلد پروفایل) در DOM بدون escape بنشیند، CSP لایهٔ دفاعی دومی نیست تا اجرای اسکریپت تزریقی را متوقف کند. با وجود لودر شخص‌ثالث سنگین (CKEditor)، این ریسک واقعی است.
+
+**۵. بازتولید:**
+```bash
+node .claude/skills/symfony-security-audit/driver.mjs headers /admin
+# → HTTP 200 ... (فهرست هدرها بدون content-security-policy) → 🟨 MEDIUM No CSP
+node .claude/skills/symfony-security-audit/driver.mjs headers /api/v1/doctors
+# → content-security-policy: default-src 'none'   ✓ (روی API هست، روی admin نیست)
+```
+
+**۶. راهکار:** یک CSP مناسب SPA به پاسخ `/admin` اضافه کن (kernel response listener یا هدر nginx). چون Encore اسکریپت‌ها را از `public/build` می‌دهد، از nonce یا `'self'` استفاده کن، نه `unsafe-inline` برای اسکریپت.
+
+**۷. کد اصلاح‌شده** (Symfony response subscriber، فقط برای مسیرهای `/admin`):
+```php
+// src/Shared/EventSubscriber/AdminCspSubscriber.php
+namespace App\Shared\EventSubscriber;
+
+use Symfony\Component\EventDispatcher\EventSubscriberInterface;
+use Symfony\Component\HttpKernel\Event\ResponseEvent;
+use Symfony\Component\HttpKernel\KernelEvents;
+
+final class AdminCspSubscriber implements EventSubscriberInterface
+{
+    public static function getSubscribedEvents(): array
+    {
+        return [KernelEvents::RESPONSE => 'onResponse'];
+    }
+
+    public function onResponse(ResponseEvent $event): void
+    {
+        if (!$event->isMainRequest()) {
+            return;
+        }
+        $path = $event->getRequest()->getPathInfo();
+        if (!str_starts_with($path, '/admin')) {
+            return;
+        }
+        $event->getResponse()->headers->set(
+            'Content-Security-Policy',
+            "default-src 'self'; "
+            . "script-src 'self'; "
+            . "style-src 'self' 'unsafe-inline'; "        // Tailwind/CKEditor inline styles
+            . "img-src 'self' data: blob:; "
+            . "font-src 'self' data:; "
+            . "connect-src 'self'; "
+            . "frame-ancestors 'none'; base-uri 'self'; object-src 'none'"
+        );
+    }
+}
+```
+
+**۸. علت انتخاب:** response subscriber مسیرمحور، بدون دست‌زدن به کانفیگ nginx (که در ddev و prod متفاوت است) و بدون افزودن باندل CSP کامل (nelmio/security). اگر بعداً nonce لازم شد، همین‌جا تزریق می‌شود. گزینهٔ رد شده: هدر سراسری در nginx — چون CSP سختِ `/api` را می‌شکند و مدیریت دو محیط را سخت می‌کند.
+
+---
+
+### 2. 🟨 Medium — وابستگی npm آسیب‌پذیر (lodash `_.template` code injection)
+
+**۱. عنوان:** درخت prod فرانت‌اند یک advisory با شدت High دارد: `lodash` — code injection از طریق `_.template`.
+
+**۲. شدت:** Medium (advisory=High، ولی بهره‌برداری واقعی مشروط). CVSS-وار ~5.0 چون سینک `_.template` با ورودی کاربر تأیید نشد.
+
+**۳. محل:** `clinicpro/package-lock.json` → `lodash` (GHSA-r5fr-rjxr-66jc). به‌علاوه ۶۱ moderate (عمدتاً درخت `@ckeditor/ckeditor5-*`).
+
+**۴. توضیح:** `npm audit --omit=dev` یک High گزارش می‌دهد: `lodash vulnerable to Code Injection via _.template imports key names`. اگر جایی `_.template` روی رشتهٔ کنترل‌شدهٔ کاربر اجرا شود، منجر به اجرای کد در مرورگر می‌شود. در این کدبیس سینک مستقیمی پیدا نشد (احتمالاً وابستگی گذرا)، ولی وجودش در باندل prod ریسک است.
+
+**۵. بازتولید:**
+```bash
+cd clinicpro && npm audit --omit=dev
+# → critical=0 high=1 moderate=61
+# High: lodash vulnerable to Code Injection via `_.template` imports key names
+#       https://github.com/advisories/GHSA-r5fr-rjxr-66jc
+```
+
+**۶. راهکار:** `lodash` را به نسخهٔ وصله‌شده ارتقا بده؛ اگر وابستگی گذراست، از `overrides` در `package.json` استفاده کن. سپس درخت moderate مربوط به CKEditor را با ارتقای `ckeditor5` به آخرین minor امن هم‌راستا کن.
+
+**۷. کد اصلاح‌شده** (`package.json`):
+```jsonc
+{
+  "overrides": {
+    "lodash": "^4.17.21"
+  }
+}
+```
+```bash
+cd clinicpro && npm install && npm audit --omit=dev   # باید high=0 شود
+```
+
+**۸. علت انتخاب:** `overrides` وابستگی گذرا را بدون تغییر مستقیم آن پکیج پین می‌کند — کم‌ریسک‌ترین مسیر. گزینهٔ رد شده: حذف lodash — چون گذرا و ناشناخته است کدام پکیج آن را می‌کشد؛ ابتدا override، اگر شکست، `npm ls lodash` برای ریشه‌یابی.
+
+---
+
+### 3. 🟦 Low — `APP_SECRET` واقعی commit‌شده در `.env.dev`
+
+**۱. عنوان:** `.env.dev` مقدار secret واقعی دارد و در git ترک شده است.
+
+**۲. شدت:** Low. فقط در `APP_ENV=dev` بارگذاری می‌شود؛ prod (`.env.coolify.example`/`.env.liara.example`) `APP_SECRET` خالی برای پرشدن دارد، پس این مقدار به prod نمی‌رسد.
+
+**۳. محل:** `.env.dev:3` → `APP_SECRET=42f34156531bad221462ff02bd43f42b` (git-tracked). همچنین `.env.test:3` مقدار تستی دارد (بی‌خطر).
+
+**۴. توضیح:** `APP_SECRET` برای CSRF token، signed URI و امضای کوکی remember-me استفاده می‌شود. لو رفتنش در git تاریخچه ماندگار است. چون prod سکرت جدا می‌گیرد، تأثیر محدود به محیط dev است؛ ولی اگر روزی deploy به‌اشتباه با `APP_ENV=dev` بالا بیاید، این سکرتِ عمومی فعال می‌شود.
+
+**۵. بازتولید:**
+```bash
+git -C clinicpro show HEAD:.env.dev | grep APP_SECRET
+# → APP_SECRET=42f34156531bad221462ff02bd43f42b
+node .claude/skills/symfony-security-audit/driver.mjs secrets
+# → 🟨 MEDIUM Secret-shaped values in a git-tracked env file  (.env.dev: APP_SECRET)
+```
+
+**۶. راهکار:** مقدار واقعی را از `.env.dev` بردار و به `.env.local` (git-ignored) منتقل کن، یا در `.env.dev` یک placeholder غیرحساس بگذار. سکرت فعلی را rotate کن (چون در تاریخچه مانده).
+
+**۷. کد اصلاح‌شده** (`.env.dev`):
+```dotenv
+# مقدار واقعی در .env.local (خارج از git) بماند
+APP_SECRET=change_me_in_env_local
+```
+
+**۸. علت انتخاب:** Symfony به‌طور استاندارد `.env.local` را برای overrideهای حساس دارد و آن را ignore می‌کند. گزینهٔ رد شده: پاک‌کردن از تاریخچه با `git filter-repo` — پرهزینه و برای یک سکرت dev غیرضروری؛ فقط rotate کافی است.
+
+---
+
+### 4. 🟦 Low — فلگ‌های session cookie پین‌نشده
+
+**۱. عنوان:** `session.cookie_secure`، `cookie_samesite` و `cookie_httponly` صریحاً ست نشده‌اند.
+
+**۲. شدت:** Low. احراز هویت اپ **JWT/stateless** است و روی session تکیه نمی‌کند؛ ولی هر سطح stateful (مثل صفحات Twig پرداخت) از دفاع کوکی بهره می‌برد.
+
+**۳. محل:** `config/packages/framework.yaml` (بلوک `session`).
+
+**۴. توضیح:** پیش‌فرض `cookie_secure: auto` است؛ در مسیر HTTP کوکی روی plain می‌نشیند. `cookie_samesite` ست‌نشده یعنی دفاع CSRF ضعیف‌تر. `httponly` پیش‌فرض `true` است ولی پین‌نشدن آن را شکننده می‌کند.
+
+**۵. بازتولید:**
+```bash
+node .claude/skills/symfony-security-audit/driver.mjs config
+# → 🟨 session.cookie_secure not set / 🟨 cookie_samesite not set / 🟦 cookie_httponly not explicit
+```
+
+**۶. راهکار:** فلگ‌ها را صریح پین کن.
+
+**۷. کد اصلاح‌شده** (`config/packages/framework.yaml`):
+```yaml
+framework:
+    session:
+        cookie_secure: true       # فقط HTTPS
+        cookie_samesite: lax      # ضد CSRF روی هر سطح stateful
+        cookie_httponly: true
+```
+
+**۸. علت انتخاب:** پین صریح، رفتار امن را مستقل از پیش‌فرض نسخهٔ Symfony قطعی می‌کند. `lax` (نه `strict`) تا ریدایرکت بازگشتِ درگاه پرداخت نشکند.
+
+---
+
+### 5. ⬜ Info — پسورد sandbox درگاه ملت هارد‌کد
+
+**۱. عنوان:** ثابت `SANDBOX_PASSWORD` در `MellatGateway` هارد‌کد است.
+
+**۲. شدت:** Informational. مقدار sandbox عمومیِ خودِ درگاه است، نه اعتبار prod.
+
+**۳. محل:** `src/Payment/Gateway/MellatGateway.php:23` → `private const SANDBOX_PASSWORD = '17384843';`
+
+**۴. توضیح:** اسکنر آن را «hardcoded credential» علامت زد. این پسورد محیط تست عمومی شاپرک است و راز نیست؛ اما ثابت‌بودنش در کد بین «راز» و «مقدار تست» ابهام می‌سازد.
+
+**۵. بازتولید:**
+```bash
+node .claude/skills/symfony-security-audit/driver.mjs secrets
+# → 🟧 HIGH src/Payment/Gateway/MellatGateway.php:23  private const SANDBOX_PASSWORD = '17384843';
+```
+
+**۶. راهکار:** اگر واقعاً sandbox عمومی است، یک کامنت روشن بگذار که راز نیست؛ اعتبار prod همیشه از env بیاید. اعتبار prod را هرگز هارد‌کد نکن.
+
+**۷. کد اصلاح‌شده:**
+```php
+// مقدار عمومی sandbox شاپرک — راز نیست. اعتبار prod از env می‌آید.
+private const SANDBOX_PASSWORD = '17384843';
+```
+
+**۸. علت انتخاب:** حذف false-positive آینده در آدیت‌ها بدون تغییر رفتار. اعتبار prod همان الگوی موجود (env) را نگه می‌دارد.
+
+---
+
+## leadهای درایور که پس از بازرسی رد شدند
+
+| lead | چرا رد شد |
+|---|---|
+| `FileUploadService`/`FileValidatorService` rename/fopen «filesystem mutation» | نام مقصد از `sanitizeFilename` → `bin2hex(random_bytes(16)).ext`؛ محتوا با magic-byte (jpeg/png/webp) تأیید؛ `..` مسدود. طراحی امن. |
+| `templates/payment/result.html.twig:140` — `redirect_to\|json_encode\|raw` | `redirect_to` = آدرس frontend که در همهٔ مسیرها با `isAllowedFrontend()` (allowlist host) اعتبارسنجی می‌شود؛ `json_encode` در context جاوااسکریپت escape امن می‌دهد. نه XSS نه open-redirect. |
+| `payment_callback` با `security: false` | callback از redirect مرورگر می‌آید (نه server-to-server)؛ امنیت با verify مبلغ سمت بانک + ضد-replay (`RefId/SaleOrderId`) تأمین می‌شود — تست‌های `PaymentCallbackAmountTest::testUnderpaymentIsRejected` و `testReplayedGatewayReferenceIsRejected` این را پوشش می‌دهند. |
+| `guards`: دو مسیر `/api/v1/altcha/challenge` و `/altcha/config` بدون `#[IsGranted]` | endpointهای عمومی CAPTCHA؛ باید برای anon قابل‌دسترس باشند. صحیح. |
+| `DoctorImportService.php:88` — `md5` «weak hash» | برای تولید شناسهٔ مصنوعی import (غیرامنیتی)، نه هش رمز. بی‌خطر. |
+| `SeedDemoDataCommand` — `mt_rand` «non-crypto RNG» | فقط دادهٔ دمو seed می‌کند. بی‌خطر. |
+
+---
+
+## پیشنهادهای معماری / امنیت / کیفیت
+
+1. **پوشش تست نقش‌ها:** اسکریپت بازسازی کاربران تست (`create_test_users.php` که در ریشهٔ `clinicpro/` نبود) را بازگردان یا یک Doctrine fixture برای هر ۵ نقش بساز تا آدیت‌های بعدی ماتریس کامل authz + IDOR بین‌نقشی را زنده تست کنند. الان فقط `admin`+`doctor` در DB هستند.
+2. **IDOR دستی:** برای منابع `{uuid}` (پرداخت، نوبت، رکورد بیمار) با دو کاربر هم‌نقش تست مالکیت انجام شود — این آدیت به‌خاطر تک‌کاربربودن هر نقش آن را زنده پوشش نداد. (نکته مثبت: `initiateAppointment` چک `getUser()->getId()` دارد.)
+3. **CSP نهایی با nonce:** پس از یافتهٔ ۱، اگر اسکریپت inline لازم شد، nonce به‌جای `unsafe-inline`.
+4. **CI dependency gate:** `npm audit --omit=dev` و `composer audit` را در CI با آستانهٔ fail-on-high اضافه کن تا lodash/CKEditor دوباره برنگردند.
+5. **Rate limit مثبت:** پیکربندی rate limiter قوی است؛ فقط مطمئن شو روی `payment/callback` هم یک سقف منطقی هست (ضد flood).
+
+---
+
+*پایان گزارش — تولیدشده با درایور `symfony-security-audit` + بازرسی دستی. هر یافته بازتولید شده است.*
@@ -1,4 +1,7 @@
 {
+    "overrides": {
+        "lodash": "^4.17.21"
+    },
    "devDependencies": {
        "@babel/core": "^7.17.0",
        "@babel/preset-env": "^7.16.0",
@@ -0,0 +1,50 @@
+<?php
+
+namespace App\Shared\EventSubscriber;
+
+use Symfony\Component\EventDispatcher\EventSubscriberInterface;
+use Symfony\Component\HttpKernel\Event\ResponseEvent;
+use Symfony\Component\HttpKernel\KernelEvents;
+
+/**
+ * Adds a Content-Security-Policy to the admin SPA responses (/admin/*).
+ * The /api/* surface already sends `default-src 'none'`; the SPA had none, so a
+ * DOM-injected script had no second line of defence. Scoped to /admin only to
+ * avoid breaking the strict API CSP.
+ */
+final class AdminCspSubscriber implements EventSubscriberInterface
+{
+    public static function getSubscribedEvents(): array
+    {
+        return [KernelEvents::RESPONSE => 'onResponse'];
+    }
+
+    public function onResponse(ResponseEvent $event): void
+    {
+        if (!$event->isMainRequest()) {
+            return;
+        }
+
+        if (!str_starts_with($event->getRequest()->getPathInfo(), '/admin')) {
+            return;
+        }
+
+        $response = $event->getResponse();
+        if ($response->headers->has('Content-Security-Policy')) {
+            return;
+        }
+
+        $response->headers->set(
+            'Content-Security-Policy',
+            "default-src 'self'; "
+            . "script-src 'self'; "
+            . "style-src 'self' 'unsafe-inline'; "   // Tailwind / CKEditor inline styles
+            . "img-src 'self' data: blob:; "
+            . "font-src 'self' data:; "
+            . "connect-src 'self'; "
+            . "frame-ancestors 'none'; "
+            . "base-uri 'self'; "
+            . "object-src 'none'"
+        );
+    }
+}
@@ -0,0 +1,35 @@
+<?php
+
+namespace App\Tests\Shared;
+
+use Symfony\Bundle\FrameworkBundle\Test\WebTestCase;
+
+/**
+ * The admin SPA (/admin/*) must carry a Content-Security-Policy; other surfaces
+ * must not receive the SPA policy (the /api CSP is stricter and set elsewhere).
+ */
+class AdminCspSubscriberTest extends WebTestCase
+{
+    public function testAdminResponseCarriesCsp(): void
+    {
+        $client = static::createClient();
+        $client->request('GET', '/admin');
+
+        $csp = $client->getResponse()->headers->get('Content-Security-Policy');
+        self::assertNotNull($csp, 'admin SPA response must set a Content-Security-Policy');
+        self::assertStringContainsString("default-src 'self'", $csp);
+        self::assertStringContainsString("object-src 'none'", $csp);
+        self::assertStringContainsString("frame-ancestors 'none'", $csp);
+    }
+
+    public function testNonAdminResponseDoesNotGetTheAdminCsp(): void
+    {
+        $client = static::createClient();
+        $client->request('GET', '/api/v1/doctors');
+
+        $csp = (string) $client->getResponse()->headers->get('Content-Security-Policy');
+        // The admin policy allows scripts from 'self'; the API policy is default-src 'none'.
+        // Either way the admin-specific script-src must not leak onto /api.
+        self::assertStringNotContainsString("script-src 'self'", $csp);
+    }
+}
@@ -5256,7 +5256,7 @@ lodash.uniq@^4.5.0:
  resolved "https://registry.npmjs.org/lodash.uniq/-/lodash.uniq-4.5.0.tgz"
  integrity sha512-xfBaXQd9ryd9dlSDvnvI0lvxfLJlYAZzXomUYzLKtUeOQvOP5piqAWuGtrhWeqaXK9hhoM/iyJc5AV+XfsX3HQ==

-lodash@^4.17.20, lodash@^4.17.21:
+lodash@^4.17.21:
  version "4.18.1"
  resolved "https://registry.npmjs.org/lodash/-/lodash-4.18.1.tgz"
  integrity sha512-dMInicTPVE8d1e5otfwmmjlxkZoUpiVLwyeTdUsi/Caj/gfzzblBcCE5sRHV/AsjuCmxWrte2TNGSYuCeCq+0Q==