feat: sistema di redirect post-login

Author: lucasalva87

core.php

@@ -183,6 +183,15 @@
         Auth::logout();
     }
 
+    // Memorizza l'URL corrente per il redirect post-login
+    if (!Auth::check() && !API\Response::isAPIRequest()) {
+        $current_url = $_SERVER['REQUEST_URI'];
+        // Evita di memorizzare URL di logout o login per prevenire loop
+        if (strpos($current_url, 'op=logout') === false && strpos($current_url, 'op=login') === false) {
+            Auth::setIntended($current_url);
+        }
+    }
+
     redirect(base_path().'/index.php');
     exit;
 }

index.php

@@ -72,19 +72,39 @@
 
     case 'logout':
         Auth::logout();
+        // Pulisce anche l'intended URL al logout
+        Auth::clearIntended();
 
         redirect(base_path().'/index.php');
         exit;
 }
 
 if (Auth::check() && isset($dbo) && $dbo->isConnected() && $dbo->isInstalled()) {
+    // Priorità 1: Token access (sistema esistente)
     if (Permissions::isTokenAccess()) {
         if (!empty($_SESSION['token_access']['id_module_target']) && !empty($_SESSION['token_access']['id_record_target'])) {
             redirect(base_path().'/shared_editor.php?id_module='.$_SESSION['token_access']['id_module_target'].'&id_record='.$_SESSION['token_access']['id_record_target']);
             exit;
         }
     }
 
+    // Priorità 2: Intended URL (nuovo sistema di redirect post-login)
+    if (Auth::hasIntended()) {
+        $intended_url = Auth::getIntended();
+
+        // Verifica i permessi per l'URL intended
+        if (Auth::canAccessIntended()) {
+            Auth::clearIntended();
+            redirect($intended_url);
+            exit;
+        } else {
+            // L'utente non ha i permessi per accedere alla pagina richiesta
+            Auth::clearIntended();
+            flash()->warning(tr('Non hai i permessi necessari per accedere alla pagina richiesta.'));
+        }
+    }
+
+    // Priorità 3: Primo modulo (sistema esistente come fallback)
     $module = Auth::firstModule();
 
     if (!empty($module)) {

src/Auth.php

@@ -996,4 +996,130 @@ private function checkTokenValidity($token_record)
 
         return $is_not_active;
     }
+
+    /**
+     * Memorizza l'URL di destinazione nella sessione per il redirect post-login.
+     *
+     * @param string $url URL di destinazione
+     */
+    public function setIntendedUrl($url)
+    {
+        if ($this->isValidInternalUrl($url)) {
+            $_SESSION['intended_url'] = $url;
+        }
+    }
+
+    /**
+     * Recupera l'URL di destinazione dalla sessione.
+     *
+     * @return string|null
+     */
+    public function getIntendedUrl()
+    {
+        return $_SESSION['intended_url'] ?? null;
+    }
+
+    /**
+     * Verifica se esiste un URL di destinazione memorizzato.
+     *
+     * @return bool
+     */
+    public function hasIntendedUrl()
+    {
+        return !empty($_SESSION['intended_url']);
+    }
+
+    /**
+     * Pulisce l'URL di destinazione dalla sessione.
+     */
+    public function clearIntendedUrl()
+    {
+        unset($_SESSION['intended_url']);
+    }
+
+    /**
+     * Verifica se l'utente ha i permessi per accedere all'URL intended.
+     *
+     * @return bool
+     */
+    public function canAccessIntendedUrl()
+    {
+        if (!$this->hasIntendedUrl()) {
+            return false;
+        }
+
+        $url = $this->getIntendedUrl();
+
+        // Estrae l'id_module dall'URL
+        if (preg_match('/[?&]id_module=(\d+)/', $url, $matches)) {
+            $id_module = $matches[1];
+
+            // Verifica i permessi per il modulo
+            $permission = \Modules::getPermission($id_module);
+            return in_array($permission, ['r', 'rw']);
+        }
+
+        return true; // Per URL senza modulo specifico
+    }
+
+    /**
+     * Valida che l'URL sia interno al sistema e sicuro.
+     *
+     * @param string $url URL da validare
+     *
+     * @return bool
+     */
+    private function isValidInternalUrl($url)
+    {
+        if (empty($url)) {
+            return false;
+        }
+
+        // Verifica che non contenga protocolli pericolosi
+        if (strpos($url, 'javascript:') !== false || strpos($url, 'data:') !== false) {
+            return false;
+        }
+
+        // Verifica che non sia un URL esterno (con protocollo http/https)
+        if (strpos($url, 'http://') === 0 || strpos($url, 'https://') === 0) {
+            return false;
+        }
+
+        $base_path = base_path();
+
+        // L'URL deve iniziare con il base_path del sistema o essere relativo
+        if (strpos($url, $base_path) === 0 || strpos($url, '/') === 0) {
+            return true;
+        }
+
+        return false;
+    }
+
+    /**
+     * Metodi statici per l'accesso ai metodi di intended URL.
+     */
+    public static function setIntended($url)
+    {
+        return self::getInstance()->setIntendedUrl($url);
+    }
+
+    public static function getIntended()
+    {
+        return self::getInstance()->getIntendedUrl();
+    }
+
+    public static function hasIntended()
+    {
+        return self::getInstance()->hasIntendedUrl();
+    }
+
+    public static function clearIntended()
+    {
+        return self::getInstance()->clearIntendedUrl();
+    }
+
+    public static function canAccessIntended()
+    {
+        return self::getInstance()->canAccessIntendedUrl();
+    }
 }