chore: build

backend/gestion/handlers/product.go

@@ -118,7 +118,6 @@ func validateCategory(database *db.Database, category string) error {
 	return nil
 }
 
-// ✅ VÉRIFICATION DU TYPE MIME RÉEL (pas juste l'extension)
 func validateFileMimeType(fileHeader *multipart.FileHeader) (string, error) {
 	file, err := fileHeader.Open()
 	if err != nil {
@@ -132,7 +131,6 @@ func validateFileMimeType(fileHeader *multipart.FileHeader) (string, error) {
 	}
 
 	mimeType := mtype.String()
-	// Normaliser : couper les paramètres éventuels (ex: "video/mp4; codecs=...")
 	if idx := strings.Index(mimeType, ";"); idx != -1 {
 		mimeType = strings.TrimSpace(mimeType[:idx])
 	}
@@ -144,17 +142,17 @@ func validateFileMimeType(fileHeader *multipart.FileHeader) (string, error) {
 	return mimeType, nil
 }
 
-// ✅ PROTECTION CONTRE PATH TRAVERSAL
 func sanitizeFilePath(path string) (string, error) {
-	// Nettoyer le chemin
 	cleaned := filepath.Clean(path)
 
-	// Vérifier qu'il ne contient pas de ".."
-	if strings.Contains(cleaned, "..") {
+	if strings.Contains(cleaned, "..") || strings.Contains(cleaned, ".") {
+		return "", fmt.Errorf("path traversal détecté")
+	}
+
+	if strings.Contains(cleaned, "//..//") || strings.Contains(cleaned, "/../") {
 		return "", fmt.Errorf("path traversal détecté")
 	}
 
-	// Vérifier qu'il commence par "uploads/"
 	if !strings.HasPrefix(cleaned, "uploads/") && !strings.HasPrefix(cleaned, "uploads\\") {
 		return "", fmt.Errorf("chemin invalide")
 	}
@@ -165,7 +163,6 @@ func sanitizeFilePath(path string) (string, error) {
 func CreateProduct(c *gin.Context) {
 	database := c.MustGet("database").(*db.Database)
 
-	// ✅ VÉRIFIER LE RÔLE (déjà fait par middleware, double-check)
 	role := c.GetString("role")
 	if role != "admin" && role != "cabine" {
 		c.JSON(http.StatusForbidden, gin.H{"error": "Accès refusé"})
@@ -174,14 +171,12 @@ func CreateProduct(c *gin.Context) {
 
 	username, _ := safeGetUsername(c)
 
-	// ✅ PARSER AVEC LIMITE DE TAILLE
 	if err := c.Request.ParseMultipartForm(MaxTotalUploadSize); err != nil {
 		log.Printf("❌ [CreateProduct] Formulaire trop grand: %v", err)
 		c.JSON(http.StatusBadRequest, gin.H{"error": "Fichiers trop volumineux"})
 		return
 	}
 
-	// ✅ RÉCUPÉRER ET VALIDER LES DONNÉES
 	name := strings.TrimSpace(c.PostForm("name"))
 	category := strings.TrimSpace(c.PostForm("category"))
 	description := strings.TrimSpace(c.PostForm("description"))
@@ -191,7 +186,6 @@ func CreateProduct(c *gin.Context) {
 		unit = "u"
 	}
 
-	// ✅ VALIDATION STRICTE
 	if err := validateProductName(name); err != nil {
 		c.JSON(http.StatusBadRequest, gin.H{"error": err.Error()})
 		return
@@ -202,7 +196,6 @@ func CreateProduct(c *gin.Context) {
 		return
 	}
 
-	// ✅ NETTOYER ET VALIDER LA CATÉGORIE
 	category = strings.ToLower(strings.TrimSpace(category))
 	category = strings.Map(func(r rune) rune {
 		if r < 32 || r == 127 {
@@ -221,7 +214,6 @@ func CreateProduct(c *gin.Context) {
 		return
 	}
 
-	// ✅ VALIDER LE STOCK
 	stock, err := strconv.ParseFloat(stockStr, 64)
 	if err != nil {
 		c.JSON(http.StatusBadRequest, gin.H{"error": "Stock invalide"})
@@ -233,11 +225,10 @@ func CreateProduct(c *gin.Context) {
 		return
 	}
 
-	// ✅ RÉCUPÉRER ET VALIDER LES PRIX
 	prices := []models.ProductPrice{}
 	priceIndex := 0
 
-	for priceIndex < 100 { // Limite anti-spam
+	for priceIndex < 100 {
 		quantityKey := fmt.Sprintf("prices[%d][quantity]", priceIndex)
 		priceKey := fmt.Sprintf("prices[%d][price]", priceIndex)
 		activePriceKey := fmt.Sprintf("prices[%d][active_price]", priceIndex)
@@ -325,7 +316,6 @@ func CreateProduct(c *gin.Context) {
 		return
 	}
 
-	// ✅ LIMITER LE NOMBRE DE FICHIERS
 	if len(files) > MaxFilesPerProduct {
 		database.DeleteProduct(product.ID)
 		c.JSON(http.StatusBadRequest, gin.H{
@@ -342,7 +332,6 @@ func CreateProduct(c *gin.Context) {
 	var totalSize int64 = 0
 
 	for i, fileHeader := range files {
-		// ✅ VÉRIFIER LA TAILLE INDIVIDUELLE
 		if fileHeader.Size > MaxFileSize {
 			rollbackFiles(savedFiles)
 			database.DeleteProduct(product.ID)
@@ -353,8 +342,6 @@ func CreateProduct(c *gin.Context) {
 		}
 
 		totalSize += fileHeader.Size
-
-		// ✅ VÉRIFIER LA TAILLE TOTALE
 		if totalSize > MaxTotalUploadSize {
 			rollbackFiles(savedFiles)
 			database.DeleteProduct(product.ID)
@@ -366,7 +353,6 @@ func CreateProduct(c *gin.Context) {
 
 		log.Printf("📄 [%d/%d] Traitement: %s", i+1, len(files), fileHeader.Filename)
 
-		// ✅ VÉRIFIER LE TYPE MIME RÉEL (pas juste l'extension)
 		mimeType, err := validateFileMimeType(fileHeader)
 		if err != nil {
 			log.Printf("❌ [CreateProduct] Type MIME invalide: %v", err)
@@ -376,7 +362,6 @@ func CreateProduct(c *gin.Context) {
 			return
 		}
 
-		// ✅ DÉTERMINER LE TYPE DE MÉDIA
 		var mediaType string
 		if strings.HasPrefix(mimeType, "image/") {
 			mediaType = "image"
@@ -389,10 +374,8 @@ func CreateProduct(c *gin.Context) {
 			return
 		}
 
-		// ✅ GÉNÉRER UN NOM UNIQUE ET SÉCURISÉ
 		uniqueFileName := utils.GenerateUniqueFileName(cleanProductName, fileHeader.Filename)
 
-		// ✅ CRÉER LE DOSSIER DE MANIÈRE SÉCURISÉE
 		destFolder := filepath.Join("uploads", mediaType+"s")
 		if err := os.MkdirAll(destFolder, 0750); err != nil {
 			log.Printf("❌ [CreateProduct] Erreur création dossier: %v", err)
@@ -404,7 +387,6 @@ func CreateProduct(c *gin.Context) {
 
 		filePath := filepath.Join(destFolder, uniqueFileName)
 
-		// ✅ VALIDER LE CHEMIN (protection path traversal)
 		safeFilePath, err := sanitizeFilePath(filePath)
 		if err != nil {
 			log.Printf("❌ [CreateProduct] Path traversal détecté: %v", err)
@@ -414,7 +396,6 @@ func CreateProduct(c *gin.Context) {
 			return
 		}
 
-		// ✅ SAUVEGARDER LE FICHIER
 		if err := c.SaveUploadedFile(fileHeader, safeFilePath); err != nil {
 			log.Printf("❌ [CreateProduct] Erreur sauvegarde: %v", err)
 			rollbackFiles(savedFiles)
@@ -425,7 +406,6 @@ func CreateProduct(c *gin.Context) {
 
 		savedFiles = append(savedFiles, safeFilePath)
 
-		// ✅ CRÉER L'ENTRÉE MÉDIA
 		mediaURL := "/" + filepath.ToSlash(safeFilePath)
 		media := models.Media{
 			ProductID: product.ID,
@@ -482,7 +462,6 @@ func GetProductsByCategory(c *gin.Context) {
 
 	category := strings.ToLower(strings.TrimSpace(c.Param("category")))
 
-	// ✅ VALIDATION
 	if err := validateCategory(database, category); err != nil {
 		c.JSON(http.StatusBadRequest, gin.H{
 			"success": false,
@@ -501,7 +480,6 @@ func GetProductsByCategory(c *gin.Context) {
 		return
 	}
 
-	// ✅ Charger les médias
 	for i := range products {
 		media, _ := database.GetMediaByProductID(products[i].ID)
 		products[i].Media = media
@@ -535,11 +513,9 @@ func GetProductByID(c *gin.Context) {
 		})
 		return
 	}
-	// ✅ Charger les médias
 	media, _ := database.GetMediaByProductID(product.ID)
 	product.Media = media
 
-	// ✅ Filtrer les prix désactivés (sauf pour admin/cabine)
 	role := c.GetString("role")
 	if role != "admin" && role != "cabine" {
 		filterActivepricesSingle(&product)
@@ -554,7 +530,6 @@ func GetProductByID(c *gin.Context) {
 func UpdateProduct(c *gin.Context) {
 	database := c.MustGet("database").(*db.Database)
 
-	// ✅ VÉRIFIER LE RÔLE
 	role := c.GetString("role")
 	if role != "admin" && role != "cabine" {
 		c.JSON(http.StatusForbidden, gin.H{"error": "Accès refusé"})
@@ -569,7 +544,6 @@ func UpdateProduct(c *gin.Context) {
 		return
 	}
 
-	// ✅ VÉRIFIER QUE LE PRODUIT EXISTE
 	_, err = database.GetProductByID(id)
 	if err != nil {
 		c.JSON(http.StatusNotFound, gin.H{"error": "Produit non trouvé"})
@@ -591,7 +565,6 @@ func UpdateProduct(c *gin.Context) {
 		return
 	}
 
-	// ✅ VALIDATION COMPLÈTE
 	if err := validateProductName(updateData.Name); err != nil {
 		c.JSON(http.StatusBadRequest, gin.H{"error": err.Error()})
 		return
@@ -737,7 +710,6 @@ func DeleteMedia(c *gin.Context) {
 	database := c.MustGet("database").(*db.Database)
 	s3Service := c.MustGet("s3Service").(*services.S3Service)
 
-	// ✅ VÉRIFIER LE RÔLE
 	role := c.GetString("role")
 	if role != "admin" && role != "cabine" {
 		c.JSON(http.StatusForbidden, gin.H{"error": "Accès refusé"})
@@ -756,18 +728,14 @@ func DeleteMedia(c *gin.Context) {
 		return
 	}
 
-	// ✅ SUPPRIMER DE LA DB EN PREMIER (source de vérité)
 	if err := database.DeleteMedia(mediaID); err != nil {
 		log.Printf("❌ [DeleteMedia] Erreur suppression DB: %v", err)
 		c.JSON(http.StatusInternalServerError, gin.H{"error": "Erreur suppression"})
 		return
 	}
 
-	// ✅ SUPPRIMER LE FICHIER SUR RUSTFS
 	if media.Key != "" {
 		if err := s3Service.DeleteFile(media.Key); err != nil {
-			// On ne fait pas échouer la requête : l'entrée DB est déjà supprimée,
-			// mais on log pour pouvoir nettoyer manuellement un fichier orphelin si besoin.
 			log.Printf("⚠️ [DeleteMedia] Fichier non supprimé sur RustFS (clé: %s): %v", media.Key, err)
 		} else {
 			log.Printf("✅ [DeleteMedia] Fichier supprimé sur RustFS: %s", media.Key)
@@ -784,7 +752,6 @@ func UploadMedia(c *gin.Context) {
 	database := c.MustGet("database").(*db.Database)
 	s3Service := c.MustGet("s3Service").(*services.S3Service)
 
-	// ✅ VÉRIFIER LE RÔLE
 	username, err := safeGetUsername(c)
 	if err != nil {
 		c.JSON(http.StatusUnauthorized, gin.H{"error": "Authentification requise"})
@@ -797,14 +764,12 @@ func UploadMedia(c *gin.Context) {
 		return
 	}
 
-	// ✅ RÉCUPÉRER ET VALIDER L'ID PRODUIT
 	productID, err := strconv.Atoi(c.Param("id"))
 	if err != nil || productID <= 0 {
 		c.JSON(http.StatusBadRequest, gin.H{"error": "ID produit invalide"})
 		return
 	}
 
-	// ✅ VÉRIFIER QUE LE PRODUIT EXISTE
 	productName, err := database.GetProductNameByID(productID)
 	if err != nil {
 		c.JSON(http.StatusNotFound, gin.H{"error": "Produit non trouvé"})
@@ -813,7 +778,6 @@ func UploadMedia(c *gin.Context) {
 
 	log.Printf("📤 [UploadMedia] %s upload média pour produit #%d (%s)", username, productID, productName)
 
-	// ✅ RÉCUPÉRER LE TYPE ET LE FICHIER
 	fileType := c.PostForm("type")
 	if fileType != "image" && fileType != "video" {
 		c.JSON(http.StatusBadRequest, gin.H{"error": "Type invalide (image ou video requis)"})
@@ -827,7 +791,6 @@ func UploadMedia(c *gin.Context) {
 		return
 	}
 
-	// ✅ VÉRIFIER LA TAILLE
 	const MaxFileSize = 10 * 1024 * 1024 // 10MB
 	if file.Size > MaxFileSize {
 		c.JSON(http.StatusBadRequest, gin.H{
@@ -836,7 +799,6 @@ func UploadMedia(c *gin.Context) {
 		return
 	}
 
-	// ✅ VÉRIFIER LE TYPE MIME RÉEL
 	detectedMime, err := validateFileMimeType(file)
 	if err != nil {
 		log.Printf("❌ [UploadMedia] Type MIME invalide: %v", err)
@@ -846,7 +808,6 @@ func UploadMedia(c *gin.Context) {
 
 	log.Printf("📋 [UploadMedia] Type MIME détecté: %s", detectedMime)
 
-	// Vérifier que le MIME correspond au type déclaré
 	if fileType == "image" && !strings.HasPrefix(detectedMime, "image/") {
 		c.JSON(http.StatusBadRequest, gin.H{"error": "Le fichier n'est pas une image valide"})
 		return
@@ -856,12 +817,10 @@ func UploadMedia(c *gin.Context) {
 		return
 	}
 
-	// ✅ GÉNÉRER UN NOM UNIQUE
 	cleanProductName := cleanFileName(productName)
 	uniqueFileName := utils.GenerateUniqueFileName(cleanProductName, file.Filename)
 
-	// ✅ UPLOAD VERS RUSTFS (remplace la sauvegarde disque locale)
-	folder := fileType + "s" // "images" ou "videos"
+	folder := fileType + "s"
 	key, err := s3Service.UploadFileWithName(file, folder, uniqueFileName)
 	if err != nil {
 		log.Printf("❌ [UploadMedia] Erreur upload RustFS: %v", err)
@@ -871,9 +830,6 @@ func UploadMedia(c *gin.Context) {
 
 	log.Printf("✅ [UploadMedia] Fichier uploadé sur RustFS: %s", key)
 
-	// ✅ CRÉER L'ENTRÉE EN BASE
-	// L'URL exposée passe par notre proxy /media/:key (RustFS est derrière le VPN,
-	// donc inaccessible directement depuis le client/navigateur).
 	media := models.Media{
 		ProductID: productID,
 		Type:      fileType,
@@ -883,7 +839,6 @@ func UploadMedia(c *gin.Context) {
 
 	err = database.CreateMedia(&media)
 	if err != nil {
-		// ✅ Rollback: supprimer le fichier sur RustFS
 		if delErr := s3Service.DeleteFile(key); delErr != nil {
 			log.Printf("⚠️ [UploadMedia] Échec rollback RustFS (clé: %s): %v", key, delErr)
 		}
@@ -971,10 +926,6 @@ func DesActivePrice(c *gin.Context) {
 	c.JSON(http.StatusOK, gin.H{"message": "Prix désactivé avec succès"})
 }
 
-// ============================================
-// DELETE PRODUCT - VERSION SÉCURISÉE
-// ============================================
-
 func DeleteProduct(c *gin.Context) {
 	database := c.MustGet("database").(*db.Database)
 
@@ -995,14 +946,12 @@ func DeleteProduct(c *gin.Context) {
 
 	log.Printf("🗑️ [DeleteProduct] %s supprime produit #%d", username, id)
 
-	// ✅ RÉCUPÉRER LES MÉDIAS AVANT SUPPRESSION
 	mediaList, err := database.GetMediaByProductID(id)
 	if err != nil {
 		c.JSON(http.StatusInternalServerError, gin.H{"error": "Erreur récupération médias"})
 		return
 	}
 
-	// ✅ SUPPRIMER LES FICHIERS AVEC SÉCURITÉ
 	for _, media := range mediaList {
 		filePath := strings.TrimPrefix(media.URL, "/")
 
@@ -1017,10 +966,8 @@ func DeleteProduct(c *gin.Context) {
 		}
 	}
 
-	// ✅ SUPPRIMER LES MÉDIAS DE LA DB
 	database.DeleteMediaByProductID(id)
 
-	// ✅ SUPPRIMER LE PRODUIT
 	err = database.DeleteProduct(id)
 	if err != nil {
 		c.JSON(http.StatusInternalServerError, gin.H{"error": "Erreur suppression produit"})
@@ -1035,10 +982,6 @@ func DeleteProduct(c *gin.Context) {
 	})
 }
 
-// ============================================
-// HELPERS
-// ============================================
-
 func rollbackFiles(files []string) {
 	for _, file := range files {
 		safeFilePath, err := sanitizeFilePath(file)