Control de Avance — Red Social Laboral (PHP 8.3)

public/index.php creado y carga bootstrap.

Debe renderizar landing y exponer rutas mínimas.

public/.htaccess con front controller y bloqueos básicos.

Debe bloquear acceso a /src, /templates, /storage.

src/Config/config.php configuraciones base (sin DB obligatoria).

Incluye seguridad, paths, SEO default.

src/Bootstrap/app.php App + error handler + router + middlewares.

Debe iniciar sesión segura (cookie flags) y exponer rutas.

src/Http/Request.php Request fromGlobals.

Lee method/path/headers/ip/ua/rawBody.

src/Http/Response.php Respuesta JSON/HTML + headers.

Envía status + content-type + headers custom.

src/Http/Router.php Router + pipeline de middlewares + notFound.

Despacha por método/ruta.

src/Http/Middlewares/SecurityHeaders.php CSP/HSTS/nosniff/deny frame.

Debe aplicar headers de seguridad a respuestas.

src/Security/CsrfToken.php emitir/verificar token (1 uso + TTL).

Rotación por request POST-like.

src/Http/Middlewares/Csrf.php bloquea POST sin CSRF.

Debe loguear evento en security.log.

src/Security/RateLimiter.php rate limit file-based.

Key por ruta+IP, ventana y max.

src/Http/Middlewares/RateLimit.php 429 en abuso.

Debe escribir en security.log si bloquea.

src/Support/Logger.php logs: app/errors/security/audit.

Formato JSON line por evento.

src/Support/Helpers.php render_template()

Carga templates desde /templates.

templates/layouts/front.php layout base.

Debe inyectar title/description básico.

templates/front/index.php landing placeholder.

Solo para verificar el pipeline.

Ruta GET /health responde 200 JSON.

Validación: curl debe devolver ok:true.

Ruta GET /csrf entrega token CSRF.

Validación: respuesta JSON debe incluir csrf.

Logs creados en storage/logs.

Debe existir carpeta y tener permisos de escritura.

src/Auth/AuthService.php login/registro base.

Argon2id, session rotate, estados usuario.

src/Auth/Passwords.php hash/verify Argon2id.

Política de password validada.

src/Auth/TwoFactor.php TOTP + backup codes.

Step-up para empresas.

src/Auth/GoogleOAuth.php OAuth PKCE.

Verificación de email + state.

src/Security/Captcha.php captcha propio (Imagick).

Expira, 1 uso, hash en sesión.

Rutas /login y /registro (GET/POST).

CSRF + captcha + rate limit + logs.

Test: POST sin CSRF → 403.

Debe loguearse en security.log.

Test: brute force → 429.

Backoff progresivo.

Tablas: plans/modules/plan_modules/user_modules.

Regla: override manual manda.

Tablas RBAC: roles/permissions/role_permissions/user_roles.

Scope platform vs company team.

src/Http/Middlewares/RequireModule.php

403 si no tiene módulo habilitado.

Panel Admin total + sidebar independiente.

CRUD planes, módulos, overrides y auditoría.

src/Domain/Media/ImageService.php

Re-encode Imagick + tamaños + strip metadata.

Test: MIME real (finfo) + límites tamaño/dimensiones.

Rechazo de no-imagen.

Landing profesional (colores claros + contraste + interacción).

CTA postulante/empresa + confianza + categorías + destacadas.

Feed 3 columnas desktop, 2 tablet, 1 móvil.

Offcanvas filtros, cards, sidebar right.

Móvil tipo app: header iconos + bottom nav fijo.

5 botones: Inicio/Buscar/Publicar/Notifs/Perfil.

Posts: texto + 1 imagen (MVP).

Texto plano, escape output, anti-XSS.

Reportes y cola admin (aprobar/ocultar/ban).

Auditoría de acciones.

Empresas publican vacantes (según módulo/plan).

Paginación estricta, moderación si aplica.

Test: límites por plan (vacantes activas / aplicaciones por día).

Bloquea y registra intento si excede.

WAF/Anti-DDoS (Cloudflare) reglas por rutas sensibles.

Rate limiting en /login /registro /buscar.

SEO final: slugs, canonical, OG, sitemap, schema.

JobPosting + Article + Organization.