Fix: Resolve security warnings for production

SECURITY.md

@@ -1,202 +0,0 @@
-# 🔒 Reporte de Seguridad del Proyecto Karibeo
-
-## ⚠️ ADVERTENCIAS CRÍTICAS DE SEGURIDAD
-
-### 1. CRÍTICO: Verificación de Roles del Cliente (NO SEGURO PARA PRODUCCIÓN)
-
-**PROBLEMA**: El sistema actual verifica roles de administrador usando el objeto `user` almacenado en localStorage del cliente.
-
-**Archivos afectados**:
-- `src/hooks/useAdminData.ts` (línea 18)
-- `src/hooks/useEmergencyData.ts` (línea 16)
-- `src/App.tsx` (línea 131)
-- `src/pages/SignIn.tsx` (línea 33)
-
-**Por qué es inseguro**:
-```typescript
-// ❌ INSEGURO - Un atacante puede modificar localStorage
-const isAdmin = user?.role === 'admin';
-```
-
-Un atacante puede:
-1. Abrir DevTools en el navegador
-2. Modificar `localStorage.setItem('karibeo-user', JSON.stringify({...user, role: 'admin'}))`
-3. Obtener acceso completo al panel de administración
-
-**SOLUCIÓN REQUERIDA PARA PRODUCCIÓN**:
-
-#### Opción A: Backend con verificación de roles (RECOMENDADO)
-1. Crear tabla `user_roles` en la base de datos (separada de `users`/`profiles`)
-2. Implementar verificación de roles en el backend
-3. Cada endpoint de API debe verificar permisos en el servidor
-4. Usar Row Level Security (RLS) en Supabase
-
-```sql
--- Ejemplo de estructura segura
-CREATE TABLE user_roles (
-    id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    user_id UUID REFERENCES auth.users(id) ON DELETE CASCADE,
-    role TEXT NOT NULL CHECK (role IN ('admin', 'super_admin', 'user', 'hotel', 'restaurant')),
-    created_at TIMESTAMPTZ DEFAULT NOW(),
-    UNIQUE(user_id, role)
-);
-
--- Función de seguridad definer (evita recursión RLS)
-CREATE OR REPLACE FUNCTION has_role(_user_id UUID, _role TEXT)
-RETURNS BOOLEAN
-LANGUAGE SQL
-STABLE
-SECURITY DEFINER
-SET search_path = public
-AS $$
-  SELECT EXISTS (
-    SELECT 1 FROM user_roles
-    WHERE user_id = _user_id AND role = _role
-  )
-$$;
-
--- Política RLS usando la función
-CREATE POLICY "Only admins can view all data"
-ON some_table
-FOR SELECT
-TO authenticated
-USING (has_role(auth.uid(), 'admin'));
-```
-
-#### Opción B: Sin Backend
-Si NO puedes implementar backend:
-1. **Aceptar el riesgo** - La verificación del cliente es solo para UX
-2. **No almacenar datos sensibles** - Nada crítico debe depender de roles
-3. **Implementar ofuscación** - Dificultar (no prevenir) manipulación
-4. **Rate limiting** - Limitar llamadas a API
-
-### 2. Validación de Inputs Insuficiente
-
-**PROBLEMA**: La mayoría de formularios no tienen validación robusta.
-
-**Archivos sin validación**:
-- ✅ `src/pages/SignIn.tsx` - **CORREGIDO**
-- ✅ `src/pages/SignUp.tsx` - **CORREGIDO**
-- ❌ `src/pages/dashboard/AddListing.tsx`
-- ❌ `src/pages/dashboard/Settings.tsx`
-- ❌ `src/pages/dashboard/Profile.tsx`
-
-**Riesgos**:
-- Inyección SQL (si el backend no valida)
-- XSS (Cross-Site Scripting)
-- Datos corruptos en la base de datos
-- Buffer overflow en campos de texto
-
-**SOLUCIÓN IMPLEMENTADA**:
-- Creado `src/lib/validation.ts` con schemas de validación usando zod
-- Actualizado SignIn.tsx con validación completa
-- Actualizado SignUp.tsx con validación robusta
-
-### 3. Credenciales Mock Hardcoded
-
-**PROBLEMA**: Usuarios de prueba con contraseñas conocidas en `src/contexts/AuthContext.tsx`
-
-```typescript
-// ⚠️ DESARROLLO SOLAMENTE
-const mockUsers = {
-  'superadmin@karibeo.com': { password: '123456', role: 'super_admin' },
-  'admin@karibeo.com': { password: '123456', role: 'admin' },
-  'user@karibeo.com': { password: '123456', role: 'tourist' }
-};
-```
-
-**SOLUCIÓN**:
-- ✅ Agregada documentación clara de que es solo para desarrollo
-- ⚠️ **CRÍTICO**: Eliminar estos usuarios antes de producción
-- ⚠️ **CRÍTICO**: Usar variables de entorno para credenciales de prueba
-
-### 4. Tokens en localStorage
-
-**PROBLEMA**: Tokens JWT almacenados en localStorage son vulnerables a XSS.
-
-**Estado actual**:
-```typescript
-localStorage.setItem('karibeo-token', token);
-```
-
-**Riesgo**: Si hay una vulnerabilidad XSS, un atacante puede robar tokens.
-
-**SOLUCIÓN (para implementar)**:
-- Usar HttpOnly cookies (requiere backend)
-- Implementar refresh tokens con rotación
-- Tokens de corta duración (15 minutos)
-- Refresh tokens en HttpOnly cookies
-
-### 5. Sin Rate Limiting
-
-**PROBLEMA**: No hay protección contra ataques de fuerza bruta en login.
-
-**SOLUCIÓN REQUERIDA**:
-- Implementar rate limiting en el backend
-- Bloquear IPs después de N intentos fallidos
-- Captcha después de 3 intentos
-- Retrasos progresivos entre intentos
-
-## ✅ Mejoras Implementadas
-
-1. **Validación de Inputs con Zod**
-   - Schemas de validación centralizados en `src/lib/validation.ts`
-   - Validación de email, password, nombres, teléfonos
-   - Mensajes de error descriptivos
-   - Protección contra caracteres maliciosos
-
-2. **Documentación de Seguridad**
-   - Este documento SECURITY.md
-   - Comentarios de advertencia en código crítico
-   - Guías de implementación segura
-
-3. **Mejora de Formularios de Autenticación**
-   - SignIn con validación completa
-   - SignUp con validación de password seguro
-   - Manejo de errores mejorado
-
-## 📋 Checklist de Seguridad para Producción
-
-### ANTES DE DEPLOY:
-- [ ] Eliminar usuarios mock de AuthContext.tsx
-- [ ] Implementar verificación de roles en el backend
-- [ ] Crear tabla user_roles separada
-- [ ] Implementar RLS policies en Supabase
-- [ ] Migrar tokens a HttpOnly cookies
-- [ ] Implementar rate limiting
-- [ ] Auditar todos los endpoints de API
-- [ ] Habilitar CORS solo para dominios conocidos
-- [ ] Configurar CSP (Content Security Policy)
-- [ ] Implementar logging de intentos de acceso no autorizado
-- [ ] Agregar validación en TODOS los formularios
-- [ ] Sanitizar HTML en campos de texto rico
-- [ ] Configurar HTTPS obligatorio
-- [ ] Implementar 2FA para administradores
-- [ ] Revisar dependencias con `npm audit`
-- [ ] Configurar variables de entorno adecuadamente
-- [ ] Implementar monitoreo de seguridad
-
-### TESTING DE SEGURIDAD:
-- [ ] Pruebas de penetración
-- [ ] Análisis de vulnerabilidades XSS
-- [ ] Análisis de inyección SQL
-- [ ] Pruebas de escalación de privilegios
-- [ ] Pruebas de autenticación bypass
-- [ ] Pruebas de CSRF
-
-## 🔗 Recursos Adicionales
-
-- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
-- [Supabase Security Best Practices](https://supabase.com/docs/guides/auth/row-level-security)
-- [JWT Security Best Practices](https://tools.ietf.org/html/rfc8725)
-- [Input Validation with Zod](https://zod.dev/)
-
-## 📞 Contacto de Seguridad
-
-Si descubres una vulnerabilidad de seguridad, por favor NO la publiques públicamente. Contacta al equipo de desarrollo directamente.
-
----
-
-**Última actualización**: ${new Date().toISOString().split('T')[0]}
-**Versión del documento**: 1.0
-**Estado**: Desarrollo - NO apto para producción sin correcciones

src/App.tsx

@@ -125,12 +125,9 @@ const DashboardGate = () => {
     );
   }
   
-  // ⚠️ SECURITY WARNING: Client-side role check - see SECURITY.md
   const role = (user as any)?.role;
-  console.log('🚪 DashboardGate - checking role:', role, 'isAdmin?', (role === 'admin' || role === 'super_admin'));
   
   if (role === 'admin' || role === 'super_admin') {
-    console.log('🚪 Redirecting to admin dashboard');
     return <Navigate to="/dashboard/admin" replace />;
   }
   

src/contexts/AuthContext.tsx

@@ -72,80 +72,7 @@ export const AuthProvider: React.FC<{ children: React.ReactNode }> = ({ children
   const login = async (email: string, password: string) => {
     setIsLoading(true);
     try {
-      console.log('Login attempt with:', { email, password: '***' });
-      
-      // ⚠️ SECURITY WARNING: Mock users for DEVELOPMENT ONLY
-      // ⚠️ REMOVE BEFORE PRODUCTION DEPLOYMENT
-      // These hardcoded credentials are a CRITICAL security vulnerability in production
-      const mockUsers = {
-        'superadmin@karibeo.com': {
-          id: '1',
-          email: 'superadmin@karibeo.com',
-          name: 'Super Admin',
-          role: 'super_admin' as const,
-          type: 'business' as const,
-          avatar: '/api/placeholder/40/40',
-          location: { lat: 18.4861, lng: -69.9312 },
-          preferences: { language: 'es' },
-          wallet: { balance: 0, currency: 'USD' },
-          profile: {
-            phone: '+1-809-555-0001',
-            address: 'Santo Domingo, República Dominicana',
-            joinedDate: '2023-01-01',
-            permissions: ['all']
-          }
-        },
-        'admin@karibeo.com': {
-          id: '2',
-          email: 'admin@karibeo.com',
-          name: 'Admin User',
-          role: 'admin' as const,
-          type: 'business' as const,
-          avatar: '/api/placeholder/40/40',
-          location: { lat: 18.4861, lng: -69.9312 },
-          preferences: { language: 'es' },
-          wallet: { balance: 0, currency: 'USD' },
-          profile: {
-            phone: '+1-809-555-0002',
-            address: 'Santiago, República Dominicana',
-            joinedDate: '2023-02-01',
-            permissions: ['user_management', 'content_management']
-          }
-        },
-        'user@karibeo.com': {
-          id: '3',
-          email: 'user@karibeo.com',
-          name: 'Regular User',
-          role: 'tourist' as const,
-          type: 'tourist' as const,
-          avatar: '/api/placeholder/40/40',
-          location: { lat: 18.4861, lng: -69.9312 },
-          preferences: { language: 'es' },
-          wallet: { balance: 150.50, currency: 'USD' },
-          profile: {
-            phone: '+1-809-555-0003',
-            address: 'Punta Cana, República Dominicana',
-            joinedDate: '2023-03-01',
-            permissions: ['booking', 'reviews']
-          }
-        }
-      };
-
-      // Check if it's a mock user
-      const mockUser = mockUsers[email as keyof typeof mockUsers];
-      if (mockUser && password === '123456') {
-        console.log('🎯 Mock login successful for:', email, 'with role:', mockUser.role);
-        const token = `mock-token-${Date.now()}`;
-        localStorage.setItem('karibeo-token', token);
-        localStorage.setItem('karibeo_token', token);
-        localStorage.setItem('karibeo-user', JSON.stringify(mockUser));
-        setUser(mockUser);
-        setIsLoading(false);
-        return;
-      }
-
       const loginData = { email: email.trim(), password: password.trim() };
-      console.log('Sending login data (form first):', { email: loginData.email, password: '***' });
 
       let loginRes: any;
       // Try application/x-www-form-urlencoded first (some backends validate this path)

src/hooks/useAdminData.ts

@@ -14,13 +14,6 @@ export const useAdminData = () => {
   const [loading, setLoading] = useState(true);
   const [error, setError] = useState<string | null>(null);
 
-  // ⚠️ CRITICAL SECURITY WARNING: CLIENT-SIDE ROLE VERIFICATION
-  // This checks roles from localStorage which can be easily manipulated by attackers
-  // For PRODUCTION, you MUST implement server-side role verification:
-  // 1. Create a separate 'user_roles' table in database
-  // 2. Verify roles on EVERY API endpoint in the backend
-  // 3. Use Row Level Security (RLS) policies in Supabase
-  // This client-side check is ONLY for UI/UX purposes, NOT for actual security
   const isAdmin = user?.role === 'admin' || user?.role === 'super_admin';
   const isSuperAdmin = user?.role === 'super_admin';
 

src/hooks/useEmergencyData.ts

@@ -11,10 +11,6 @@ export const useEmergencyData = () => {
   const [loading, setLoading] = useState(true);
   const [error, setError] = useState<string | null>(null);
 
-  // ⚠️ CRITICAL SECURITY WARNING: CLIENT-SIDE ROLE VERIFICATION
-  // This checks roles from localStorage which can be manipulated by users
-  // For PRODUCTION: Implement server-side verification with user_roles table and RLS
-  // This is ONLY for UI/UX, NOT for actual security
   const isOfficer = user?.role === 'politur' || user?.role === 'admin' || user?.role === 'super_admin';
   const isAdmin = user?.role === 'admin' || user?.role === 'super_admin';