Erstelle mir eine vollständige Docker-Compose-Entwicklungsumgebung für PHP mit Apache, MySQL und phpMyAdmin.
Ziel:
Ich möchte lokal PHP-Code entwickeln können.
Anforderungen:
- Docker Compose
- Apache mit PHP
- MySQL-Datenbank
- phpMyAdmin
- PHP-Code soll über ein lokales Verzeichnis gemountet werden
- MySQL-Daten sollen persistent gespeichert werden
- Saubere Ordnerstruktur
- `.env` Datei für Zugangsdaten
- Beispiel-`index.php`
- Beispiel-Datenbankverbindung mit PDO
- verständliche Start-Anleitung
Bitte liefere:
1. Projektstruktur
2. `docker-compose.yml`
3. Optionales `Dockerfile` für PHP-Apache
4. `.env.example`
5. Beispiel-`src/index.php`
6. Beispiel-`src/db.php`
7. Erklärung der Ports:
- Apache/PHP
- MySQL
- phpMyAdmin
8. Befehle zum Starten, Stoppen und Neustarten
9. Hinweise für Entwicklung und Sicherheit
Technische Vorgaben:
- PHP 8.3 oder neuer
- Apache
- MySQL 8
- phpMyAdmin aktuell
- PDO MySQL aktiviert
- Apache erreichbar unter `http://localhost:8080`
- phpMyAdmin erreichbar unter `http://localhost:8081`
- MySQL intern erreichbar über Hostname `mysql`
- Datenbankname, User und Passwort aus `.env`
Achte darauf, dass alles direkt lauffähig ist.
Du bist ein Senior Full-Stack-Engineer, Security-Engineer und Architekt für hochsichere Webanwendungen.
Deine Aufgabe ist es, ein vollständiges, produktionsreifes Authentifizierungs- und Account-System zu entwerfen und zu implementieren.
## Ziel
Baue ein sicheres, skalierbares Web-Auth-System mit modernen Best Practices nach OWASP ASVS, NIST und aktuellen Security-Standards.
---
## Kernfunktionen
### Authentifizierung
- Registrierung mit E-Mail und Passwort
- Login mit E-Mail + Passwort
- Login per Magic Link (E-Mail)
- Login per Einmal-Code (6-stellig per E-Mail)
- Optional: 2FA/MFA (TOTP vorbereitet)
- Optional: Passkeys / WebAuthn vorbereiten
### Account Management
- E-Mail-Verifizierung nach Registrierung
- „Passwort vergessen“-Flow
- Passwort ändern (mit Validierung)
- E-Mail-Adresse ändern (Bestätigung alte + neue Adresse)
- Account aktiv / deaktiviert / gesperrt
- Temporäre Sperrung bei verdächtigen Aktivitäten
- Recovery-Codes vorbereiten
### Session & Device Management
- Sichere Session-Verwaltung (Server-side oder JWT + Refresh)
- Session-Rotation nach Login
- Logout
- Logout aller Sessions
- Einzelne Sessions anzeigen und beenden
- Device Tracking (Browser/IP grob)
- Benachrichtigung bei neuem Gerät
---
## Security-Anforderungen
### Passwort & Auth
- Passwort-Hashing mit Argon2id (Fallback: bcrypt)
- Keine Klartext-Passwörter
- Passwortregeln nach NIST (keine unnötige Komplexität)
- Prüfung gegen bekannte geleakte Passwörter
- Kein erzwungener periodischer Passwortwechsel
### Token-Sicherheit
- Magic Links, Reset-Tokens und Codes:
- Nur gehasht speichern
- Ablaufzeiten
- One-Time-Use
- Kurze Gültigkeit für Codes (z. B. 5–10 Minuten)
### Schutzmechanismen
- Rate Limiting:
- pro IP
- pro Account
- pro Endpoint
- Schutz gegen:
- Brute Force
- Credential Stuffing
- Account Enumeration
- Timing Attacks
- Replay-Angriffe
- Session Fixation
- Risikobasierte Maßnahmen (z. B. CAPTCHA bei Auffälligkeiten)
### Web Security
- CSRF-Schutz
- XSS-Schutz
- SQL Injection Schutz
- Security Headers:
- CSP
- HSTS
- X-Frame-Options
- Referrer-Policy
- Sichere Cookies:
- HttpOnly
- Secure
- SameSite=strict/lax
- HTTPS erzwingen
---
## Logging & Monitoring
- Audit-Logging für:
- Login-Versuche (erfolgreich/fehlgeschlagen)
- Passwortänderungen
- Passwort-Reset
- Magic-Link-Nutzung
- Code-Anfragen
- Account-Sperren
- verdächtige Aktivitäten
- Keine sensiblen Daten loggen (keine Passwörter, Tokens)
- Strukturierte Logs (JSON)
- Monitoring + Alerts bei Angriffsmustern
---
## Datenschutz & Compliance
- Datenminimierung
- DSGVO-konformes Logging
- Löschkonzept (User löschen / anonymisieren)
- Exportfunktion für Nutzerdaten
- Aufbewahrungsfristen definieren
---
## Architektur & Technik
Verwende:
- {{Scriptsprache}}
- {{Datenbank}}
- Redis (für Sessions & Rate Limiting)
### Datenbanktabellen
- users
- sessions
- email_verifications
- password_reset_tokens
- magic_links
- login_codes
- audit_logs
- optional: devices
---
## API-Design
Definiere klare Endpoints für:
- /register
- /login
- /logout
- /password/forgot
- /password/reset
- /password/change
- /email/verify
- /email/change
- /magic-link/request
- /magic-link/consume
- /login-code/request
- /login-code/verify
- /sessions
- /sessions/revoke
---
## Rate Limiting Konzept
- Global + Endpoint-spezifisch
- Sliding Window oder Token Bucket
- Speicherung in Redis
- Unterschiedliche Limits für:
- Login
- Reset
- Code-Anfragen
- Magic Links
---
## E-Mail-System
- Sichere Templates
- Kein Leaken von Account-Existenz
- Signierte Links
- Ablaufzeiten klar kommunizieren
---
## Fehlerhandling
- Generische Fehlermeldungen (kein Account-Leak)
- Konsistente API Responses
- Kein Stacktrace nach außen
---
## Tests
Erstelle:
- Unit Tests
- Integration Tests
- Security Tests für:
- Brute Force
- Token Replay
- Expired Tokens
- Rate Limits
- Session Hijacking Simulation
---
## Deployment & Betrieb
- Secrets über ENV (kein Hardcoding)
- Secret Rotation vorbereiten
- HTTPS Only
- Reverse Proxy (z. B. Nginx)
- Docker Setup
- CI/CD Empfehlungen
- Backup & Restore Strategie
---
## Threat Modeling
- Analysiere das System nach STRIDE:
- Spoofing
- Tampering
- Repudiation
- Information Disclosure
- Denial of Service
- Elevation of Privilege
---
## Output-Anforderungen
Liefere:
1. Architekturdiagramm (textuell erklärt)
2. Datenbank-Schema
3. API-Spezifikation
4. Security-Konzept mit Begründungen
5. Rate-Limit-Design
6. Logging-Konzept
7. Vollständigen Beispielcode (modular, produktionsnah)
8. Testfälle
9. Deployment-Anleitung
10. Liste typischer Fehler + wie man sie vermeidet
Erkläre jede sicherheitsrelevante Entscheidung verständlich und praxisnah.
Erstelle mir ein Cheat für {{sachex}}
Photorealistisches Editorial-Porträt eines 30–35-jährigen Mannes am Strand bei Sonnenuntergang, aufgenommen aus etwa 4–6 Fuß Entfernung. Er steht entspannt am Ufer, barfuß im Sand, hält seine Schuhe in einer Hand und ein Smartphone in der anderen.
Er hat ein markantes, symmetrisches Gesicht mit natürlicher Hautstruktur (sichtbare Poren, leichte Textur), gepflegten kurzen Haaren (z. B. leicht zerzauster Undercut oder klassischer Kurzhaarschnitt) und dezentem Bart (Stoppeln oder sauber getrimmter Bart).
Körperbau: athletisch, definiert, aber natürlich (nicht übertrieben muskulös).
Outfit: leicht geöffnetes Leinenhemd oder lockeres Sommerhemd, kombiniert mit schlichten Shorts oder leichten Stoffhosen, leicht vom Wind bewegt.
Stimmung: selbstbewusst, ruhig, maskulin, leicht dominant, elegante und entspannte Ausstrahlung.
Beleuchtung: natürliches, weiches Golden-Hour-Licht, warme Sonnenuntergangsfarben, keine künstlichen Lichtquellen.
Kamera: 85mm Objektiv, f/1.8, geringe Tiefenschärfe.
Stil: hyperrealistisch, ultra-detailliert, 8K-Auflösung, RAW-Foto-Look, feines Filmkorn.
Photorealistisches Editorial-Porträt einer 33-jährigen slawischen Frau am Strand bei Sonnenuntergang, aufgenommen aus etwa 4–6 Fuß Entfernung. Sie steht selbstbewusst am Ufer, barfuß im Sand, hält ihre High Heels und ein Smartphone in den Händen.
Sie trägt ein rosafarbenes, enganliegendes Bodycon-Minikleid mit Cowl-Neck-Ausschnitt, rückenfreiem Design und schmalen Trägern, mit leicht ungleichmäßiger Stoffstruktur.
Die Frau hat ein symmetrisches, attraktives Gesicht, natürliche Haut mit feinen Details (Poren, leichte Textur, eventuell dezente Sommersprossen), dezentes natürliches Make-up und eine platinblonde Long-Bob-Frisur. Ihr Körper ist kurvig und ästhetisch, mit betonten Proportionen.
Stimmung: selbstbewusst, feminin, leicht dominant („bossy“), elegante Ausstrahlung.
Beleuchtung: natürliches, weiches Abendlicht (Golden Hour), ohne künstliche Lichtquellen.
Kamera: 85mm Objektiv, f/1.8, geringe Tiefenschärfe.
Stil: hyperrealistisch, ultra-detailliert, 8K-Auflösung, RAW-Foto-Look, feines Filmkorn.
Schau dir den Quellcode an und überprüfe ihn auf Sicherheitslücken
Schau dir die Seite {{url}} SEO technisch an
Ich möchte eine Webseite haben für eine mit dem Bereich {{Firmabereich}} die ich entwickeln soll, kannst du mir den code schreiben. Firma heißt: {{Firma}}. sie soll Respsonive und schlicht sein. Impressum und Datenschutz muss vorhanden sein. Darf nicht zu sehr nach KI generiert aussehen
