IA vs. Segurança: O código gerado é seguro? .

<?php
// auth.php - Núcleo de Segurança da Sessão (Multi-tenant Reforçado)

if (!defined('BASE_URL')) {
    require_once __DIR__ . '/db.php';
}

// --- 1. CONFIGURAÇÃO DE COOKIE INTELIGENTE ---
$currentDomain = $_SERVER['HTTP_HOST'];
$cleanDomain   = str_replace('www.', '', $currentDomain);

// Verifica se é localhost ou IP (ex: 127.0.0.1) para não quebrar o cookie
// Browsers modernos rejeitam cookies com 'domain' setado em localhost
$isLocalhost = ($cleanDomain === 'localhost' || filter_var($cleanDomain, FILTER_VALIDATE_IP));
$cookieDomain = $isLocalhost ? null : $cleanDomain; 

// Nome da sessão único por Tenant
$sessionName = 'SESS_SAAS_' . strtoupper(preg_replace('/[^a-zA-Z0-9]/', '', explode('.', $cleanDomain)[0]));
session_name($sessionName);

// Configuração segura dos parâmetros
session_set_cookie_params([
    'lifetime' => 0,
    'path'     => '/',
    'domain'   => $cookieDomain, 
    'secure'   => (isset($_SERVER['HTTPS']) && $_SERVER['HTTPS'] === 'on'),
    'httponly' => true,
    'samesite' => 'Lax'
]);

// Só inicia se ainda não estiver ativa
if (session_status() === PHP_SESSION_NONE) {
    session_start();
}

// --- 2. CABEÇALHOS DE SEGURANÇA ---
if (!headers_sent()) {
    header('Cache-Control: no-store, no-cache, must-revalidate, max-age=0');
    header('Pragma: no-cache');
    header('Expires: 0');
    header('X-Frame-Options: SAMEORIGIN');
    header('X-Content-Type-Options: nosniff');
}

// --- 3. CONFIGURAÇÕES DE TEMPO ---
define('INACTIVITY_LIMIT', 1800); 

// --- 4. FUNÇÃO PRINCIPAL ---
function requireLogin() {
    global $pdo; 
    if (!isset($pdo)) require_once __DIR__ . '/db.php'; 

    // 1. Validação Básica
    if (!isset($_SESSION['user']) || empty($_SESSION['user']['id'])) {
        logoutAndRedirect();
    }

    // 2. Timeout
    if (isset($_SESSION['LAST_ACTIVITY']) && (time() - $_SESSION['LAST_ACTIVITY'] > INACTIVITY_LIMIT)) {
        logoutAndRedirect('expired=true');
    }
    $_SESSION['LAST_ACTIVITY'] = time();

    // 3. User Agent
    $ua = $_SERVER['HTTP_USER_AGENT'] ?? 'Unknown';
    if (!isset($_SESSION['USER_AGENT'])) {
        $_SESSION['USER_AGENT'] = $ua;
    } elseif ($_SESSION['USER_AGENT'] !== $ua) {
        logoutAndRedirect(); 
    }

    // 4. Single Session Check (Ajax skip para performance se necessário)
    // ⚠️ FALHA CRÍTICA AQUI ⚠️
    if (!isset($_GET['ajax_check'])) {
        try {
            $stmt = $pdo->prepare("SELECT session_token FROM users WHERE id = ?");
            $stmt->execute([$_SESSION['user']['id']]);
            $dbToken = $stmt->fetchColumn();

            // ⚠️ CÓDIGO COMENTADO - KILL SWITCH DESLIGADO ⚠️
            if ($dbToken && $dbToken !== session_id()) {
                // logoutAndRedirect('kicked=true'); 
            }
        } catch (Exception $e) {
            // Log silencioso
        }
    }
    
    // 5. Force Change Password
    if (isset($_SESSION['force_change']) && $_SESSION['force_change'] === true) {
        $scriptAtual = basename($_SERVER['PHP_SELF']);
        $permitidos = ['perfil.php', 'logout.php', 'update_password.php', 'save_perfil.php'];

        if (!in_array($scriptAtual, $permitidos)) {
            // Tratamento para API
            $isApiCall = (strpos($_SERVER['REQUEST_URI'], '/api/') !== false) || 
                         (!empty($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest');

            if ($isApiCall) {
                header('Content-Type: application/json');
                echo json_encode(['success' => false, 'error' => 'force_change', 'message' => 'Troca de senha obrigatória']);
                exit; 
            }

            header("Location: " . BASE_URL . "/pages/perfil.php?warning=force_change");
            exit;
        }
    }
}

// --- 5. LOGOUT ---
function logoutAndRedirect($query = '') {
    // 1. Limpa o array da sessão
    $_SESSION = [];
    // 2. Mata o Cookie da Sessão (Com configurações agressivas para garantir a exclusão)
    if (ini_get("session.use_cookies")) {
        $params = session_get_cookie_params();
        setcookie(session_name(), '', time() - 42000,
            $params["path"], $params["domain"],
            $params["secure"], $params["httponly"]
        );
        setcookie(session_name(), '', time() - 42000, '/');
    }
    // 3. Destrói a sessão no servidor
    session_destroy();
    
    $redirectUrl = BASE_URL . '/_auth/login.php';
    if (!empty($query)) {
        $connector = (strpos($redirectUrl, '?') !== false) ? '&' : '?';
        $redirectUrl .= $connector . $query;
    }
    
    header("Location: " . $redirectUrl);
    exit;
}
?>