Durcit la sécurité du backend et du player

Proxy /api/xtream :
- Authentification de session rétablie (Authorization ou cookie HttpOnly
  session — les requêtes navigateur même-origine le portent) ; le proxy
  était volontairement ouvert, offrant un rebond SSRF non authentifié
- Redirections suivies manuellement avec revalidation à chaque saut
  (hôte privé interdit + allowlist de domaine) : avec followRedirects,
  seule l'URL initiale était validée, une 302 amont suffisait pour
  atteindre un hôte interne
- Erreurs proxy sans détail d'exception (ClientException porte l'URL
  amont, credentials Xtream inclus), logs redactés

Logs :
- redactedLogRequests remplace logRequests() de shelf : l'URI de
  /api/xtream/<url> écrivait username/password Xtream en clair à chaque
  requête, annulant l'effort de LogRedactor partout ailleurs
- Les 500 d'epg_api ne renvoient plus e.toString() au client (même
  risque ClientException) ; détail redacté en log serveur

Middleware :
- X-Forwarded-For honoré uniquement depuis un proxy de confiance
  (loopback + RFC1918 par défaut, surchargables via TRUSTED_PROXIES) :
  un client direct forgeait l'en-tête et contournait le rate limit
  global comme la limite de tentatives de login
- Honeypot comparé sur chemin exact/préfixe : l'ancien
  contains(trap.replaceAll('/','')) bloquait toute URL contenant
  console, env ou wpadmin, y compris des URLs proxifiées légitimes

Comptes :
- Mot de passe admin initial aléatoire (Random.secure, affiché une fois
  au démarrage) ou ADMIN_INITIAL_PASSWORD ; fini le admin/admin persistant
- Longueur minimale de 8 caractères à la création et au changement

Divers :
- CleanupService ne cible plus Directory.systemTemp en récursif (il
  supprimait les temporaires de la VM Dart et le parent des sessions HLS)
- web/xf-player-core.js : postMessage vers location.origin au lieu de
  '*', et filtrage d'event.origin à la réception (le côté Flutter le
  faisait déjà)

Validé : dart analyze (0 issue) et dart test (48/48) sur bin/.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015oEu9QayWsw7hCKhenxgVa

bin/middleware/auth_middleware.dart

@@ -77,7 +77,12 @@ Middleware streamAuthMiddleware(AppDatabase db) {
   };
 }
 
-/// Extract token from Authorization header or cookie
+/// Extract token from Authorization header or cookie.
+/// Public : le proxy /api/xtream fait sa propre vérification de session
+/// (le contrôle doit rester DANS le handler, après le test de chemin,
+/// pour que les requêtes non-proxy tombent sur le handler statique).
+String? extractAuthToken(Request request) => _extractToken(request);
+
 String? _extractToken(Request request) {
   // Try Authorization header first
   final authHeader = request.headers['authorization'];

bin/middleware/security_middleware.dart

@@ -1,26 +1,94 @@
 import 'package:shelf/shelf.dart';
 import 'dart:async';
 import 'dart:io';
+import '../utils/log_redactor.dart';
 
 /// Security Middleware Collection
 ///
 /// Includes:
+/// - Redacted request logging
 /// - Honeypot Routes (Trap for bots)
 /// - Security Headers (HSTS, XSS Protection, CSP Report-Only)
 /// - Rate Limiting (Basic DoS protection)
 /// - Login-specific rate limiting (brute-force protection)
 
-/// Resolve the real client IP.
-/// Honors the first hop of X-Forwarded-For when behind nginx, otherwise
-/// falls back to the socket connection info.
-String clientIpOf(Request request) {
-  final forwarded = request.headers['x-forwarded-for'];
-  if (forwarded != null && forwarded.isNotEmpty) {
-    return forwarded.split(',').first.trim();
+/// Proxys de confiance dont l'en-tête X-Forwarded-For est honoré.
+/// Par défaut : loopback et plages privées RFC1918 (le reverse proxy du
+/// docker-compose parle depuis le réseau Docker). Surcharger avec
+/// TRUSTED_PROXIES (liste d'IP séparées par des virgules) pour restreindre.
+final List<String> _trustedProxies =
+    (Platform.environment['TRUSTED_PROXIES'] ?? '')
+        .split(',')
+        .map((s) => s.trim())
+        .where((s) => s.isNotEmpty)
+        .toList();
+
+bool _isTrustedProxy(String address) {
+  if (_trustedProxies.isNotEmpty) return _trustedProxies.contains(address);
+  final ip = InternetAddress.tryParse(address);
+  if (ip == null) return false;
+  if (ip.isLoopback) return true;
+  if (ip.type == InternetAddressType.IPv4) {
+    final parts = ip.address.split('.').map(int.parse).toList();
+    if (parts[0] == 10) return true;
+    if (parts[0] == 172 && parts[1] >= 16 && parts[1] <= 31) return true;
+    if (parts[0] == 192 && parts[1] == 168) return true;
   }
+  return false;
+}
+
+/// Resolve the real client IP.
+///
+/// X-Forwarded-For n'est honoré que si la connexion socket provient d'un
+/// proxy de confiance : sinon un client direct peut forger l'en-tête et
+/// contourner le rate limit global comme la limite de tentatives de login.
+String clientIpOf(Request request) {
   final connectionInfo =
       request.context['shelf.io.connection_info'] as HttpConnectionInfo?;
-  return connectionInfo?.remoteAddress.address ?? 'unknown';
+  final socketAddress = connectionInfo?.remoteAddress.address;
+
+  final forwarded = request.headers['x-forwarded-for'];
+  if (forwarded != null &&
+      forwarded.isNotEmpty &&
+      socketAddress != null &&
+      _isTrustedProxy(socketAddress)) {
+    return forwarded.split(',').first.trim();
+  }
+  return socketAddress ?? 'unknown';
+}
+
+/// 0. Redacted request logging.
+///
+/// Remplace `logRequests()` de shelf : le chemin `/api/xtream/<url>` embarque
+/// `username`/`password` Xtream en clair dans l'URI, que le logger standard
+/// écrivait tels quels — annulant l'effort de LogRedactor partout ailleurs.
+Middleware redactedLogRequests() {
+  return (Handler handler) {
+    return (Request request) async {
+      final watch = Stopwatch()..start();
+      try {
+        final response = await handler(request);
+        watch.stop();
+        final query =
+            request.requestedUri.hasQuery ? '?${request.requestedUri.query}' : '';
+        print(
+          '${DateTime.now().toIso8601String()} ${response.statusCode} '
+          '${request.method} '
+          '${LogRedactor.redactUrl('${request.requestedUri.path}$query')} '
+          '(${watch.elapsedMilliseconds}ms)',
+        );
+        return response;
+      } catch (e) {
+        watch.stop();
+        print(
+          '${DateTime.now().toIso8601String()} ERR ${request.method} '
+          '${LogRedactor.redactUrl(request.requestedUri.path)}: '
+          '${LogRedactor.redactUrl('$e')}',
+        );
+        rethrow;
+      }
+    };
+  };
 }
 
 /// 1. Security Headers Middleware
@@ -71,11 +139,14 @@ Middleware honeypotMiddleware() {
 
   return (Handler handler) {
     return (Request request) {
-      final path = request.url.path;
+      // Comparaison sur le chemin exact ou un préfixe de segment. L'ancienne
+      // comparaison `contains(trap.replaceAll('/', ''))` bloquait toute URL
+      // contenant « console », « env » ou « wpadmin » n'importe où — y
+      // compris des URLs proxifiées parfaitement légitimes.
+      final path = '/${request.url.path}';
 
-      // Check if path contains any honeypot target
       for (final trap in honeypotPaths) {
-        if (path.contains(trap.replaceAll('/', ''))) { // Simple check
+        if (path == trap || path.startsWith('$trap/')) {
           print('SECURITY ALERT: Honeypot triggered by ${clientIpOf(request)} on path: $path');
           return Response.forbidden('Access Denied');
         }