# وضعیت اصلاحات امنیتی

## اصلاح‌شده در این بسته
- حذف رمز عبور پیش‌فرض `admin123`؛ ایجاد دیتابیس جدید بدون `ADMIN_USER` و `ADMIN_PASS` قوی متوقف می‌شود.
- در صورت خرابی یا JSON نامعتبر دیتابیس موجود، سرور دیگر دیتابیس تازه نمی‌سازد و با خطای صریح متوقف می‌شود تا از بازنویسی ناخواسته اطلاعات جلوگیری شود.
- افزایش حداقل طول رمز عبور به ۱۲ و تعیین سقف ۱۲۸ نویسه.
- مقاوم‌سازی تجزیه Cookie در برابر percent-encoding نامعتبر.
- SameSite کوکی نشست به Strict تغییر یافت.
- درخواست‌های تغییردهنده API باید Origin هم‌دامنه معتبر یا Fetch Metadata از نوع same-origin داشته باشند.
- تنظیم مجوزهای محدودتر برای پوشه داده و فایل دیتابیس تا حد پشتیبانی فایل‌سیستم هاست.
- جلوگیری از کش شدن پاسخ‌های حساس و فایل‌های خصوصی.
- اصلاح کنترل مسیر فایل‌های استاتیک و تعیین timeoutهای HTTP.

## موارد باز و مانع انتشار عملیاتی
- پیاده‌سازی کامل Department-Based Access Control در تمام APIها.
- نقش مستقل مسئول دبیرخانه و مدیر واحد.
- گردش نامه وارده، ارجاع، مهلت پاسخ و تاریخچه تغییرناپذیر.
- کنترل دسترسی مستقل برای فایل‌ها و PDFها بر اساس مجوز سند/واحد.
- بازطراحی کنترل دسترسی پرونده‌ها، اسناد و نامه‌های وارده/صادره و آزمون IDOR.
- مهاجرت کنترل‌شده JSON به SQLite و آزمون هم‌زمانی/بازیابی.
- محدودیت نرخ درخواست و آپلود در سطح پایدار، مدیریت سهمیه و اسکن بدافزار.
- آزمون نفوذ و آزمون عملی روی محیط استقرار واقعی.

**نتیجه:** این بسته صرفاً نسخه سخت‌سازی اولیه برای نصب و آزمایش زیرساخت cPanel است. نباید به‌عنوان نسخه نهایی امن یا سامانه آماده نگهداری اسناد محرمانه معرفی شود.