CodePress/TODO.md

# CodePress TODO

## ✅ Voltooid (recent)

### Opschoning & kleine verbeteringen (v1.9.1)
- [x] Wereldkaart: nul-opgevulde ISO-nummers werden niet herkend, waardoor 31 landen ontbraken (o.a. Brazilië, Australië, België, Oostenrijk, Algerije)
- [x] Wereldkaart: Rusland en Fiji smeerden over de datumgrens uit over de volle 360°; ringen worden nu ontvouwen en aan beide randen getekend
- [x] Wereldkaart: bijgesneden op 84°N–60°Z, `fill-rule="evenodd"` voor enclaves, 174 landen
- [x] `Logger::tail()` leest het bestand nu achterwaarts in blokken i.p.v. volledig in het geheugen
- [x] Externe links krijgen `rel="noopener noreferrer"` — in de footer en automatisch in Markdown-content via `ExternalLinkExtension`
- [x] `formatDisplayName()` opgeschoond en beveiligd tegen lege invoer (PHP-waarschuwing verholpen)
- [x] Statistieken exporteren als CSV (met BOM voor Excel) of JSON
- [x] GeoIP-database werkt zichzelf automatisch bij als hij ouder is dan 35 dagen
- [x] Sneltoetsen in de editor: Ctrl/Cmd+S opslaan, Ctrl/Cmd+N nieuwe pagina
- [x] Zoekfilter in de admin content browser (live, met teller en Escape om te wissen)
- [x] Content versioning: bij elke save een tijdgestempelde `.bak` in `content/-backups/`, laatste 5 versies per bestand

### Statistieken & GeoIP (v1.9.0)
- [x] `GeoIP` class met providerketen: lokaal (DB-IP Lite) → MaxMind `.mmdb` → externe API, met automatische fallback
- [x] Eigen pure-PHP MMDB-lezer (`MMDBReader`), geen Composer-afhankelijkheid nodig
- [x] `cli/geoip-update.php` — downloadt DB-IP Lite en bouwt compacte binaire index (354k IPv4 + 342k IPv6 records)
- [x] Binary search lookup via `fseek` voor IPv4 (10 bytes/record) en IPv6 (34 bytes/record)
- [x] Placeholder-landcodes (`ZZ`/`XX`) tellen als onbekend
- [x] `cli/generate-world-map.php` — genereert SVG-wereldkaart uit Natural Earth TopoJSON (publiek domein) met ISO alpha-2 id's
- [x] `Analytics` class met aggregatie in `admin/storage/stats.json` (LOCK_EX), overleeft het wissen van logs
- [x] Admin pagina `/admin/statistics`: KPI's, choropleth wereldkaart met tooltips, landenlijst met vlaggen, top pagina's, dagelijkse grafiek, referrers
- [x] Periodefilter 7 / 30 / 90 dagen / alles
- [x] GeoIP- en privacy-instellingen in admin (provider, `.mmdb` pad, API URL/sleutel, bewaartermijn)
- [x] Knop "GeoIP database bijwerken" en "Statistieken wissen" in admin
- [x] IP-anonimisering als schakelaar (`RequestLogger::anonymizeIp()`), standaard uit
- [x] Landkolom met vlag in requests log + KPI-kaarten op dashboard
- [x] `requests.log` uitgebreid met landcode (9e veld), parser accepteert 7/8/9 velden

### Beveiliging (v1.8.0)
- [x] `BotGuard` engine: AI-crawlers, zoekmachines, scrapers en lege user-agents herkennen en blokkeren
- [x] Admin pagina `/admin/security` met schakelaars, rate limiting en IP block/allowlist
- [x] Rate limiting per IP (HTTP 429 met `Retry-After`)
- [x] Dynamische `/robots.txt` en `noai`/`noimageai` meta-tags
- [x] Statuskolom met badges in requests log
- [x] Echte bezoeker-IP achter HAProxy/PFSense (`RequestLogger::getClientIp()`, 2-pass publiek IP filter)
- [x] HAProxy/PFSense handleiding (`docs/haproxy-bot-blocking.md`)
- [x] Eén-klik systeemupdate via `/admin/update` met controle op Git-schrijfrechten
- [x] `config.json` en `admin/config/admin.json` uit Git, automatisch aangemaakt indien afwezig
- [x] **ARIAComponents.php parse error** — opgelost op regels 67, 137 en 262 (`'UTF-8)` → `'UTF-8')`)

### Media & Editor
- [x] Media browser modal met upload, thumbnail grid, en size-prompt
- [x] Media knop in editor toolbar voor alle modes (md/html/php)
- [x] Recursieve scan van `content/` voor media bestanden (ipv alleen `-assets/`)
- [x] `/-media/` URL prefix voor media bestanden (consistente routing, geen special cases)
- [x] `/-assets/` blijft werken voor backward compatibility
- [x] Size prompt voor afbeeldingen: Markdown `![alt](url)`, HTML/PHP `<img>` met width/height
- [x] Editor change detectie: `editor.on('change', ...)` werkt nu correct
- [x] "Terug" knop verandert naar rode "Annuleren" bij ongewijzigde wijzigingen (content-edit + content-new)
- [x] Upload knop disabled tot bestand geselecteerd
- [x] "Aanmaken" knop disabled tot bestandsnaam ingevuld
- [x] Editor mode switching in content-new werkt via `switchMode()` (mode + toolbar + data-ext)

### Content Management
- [x] Inline rename veld in content-edit pagina (geen aparte rename knop)
- [x] Bestanden en mappen verplaatsen (content-move)
- [x] Breadcrumb toont geen `.` meer (dirname check op PHP niveau)
- [x] Verwijderde aparte `content-file-rename` route/handler/template

### Thema's
- [x] Thema's in subdirectory `themes/naam/theme.json` (ipv `themes/naam.json`)
- [x] Thema CRUD in admin (aanmaken, activeren, bewerken, verwijderen)
- [x] File upload voor thema achtergrond afbeeldingen

### Security & Code Quality (docs/TODO.md)
- [x] Path traversal fix (`realpath()` + prefix-check)
- [x] JWT secret fallback verwijderd
- [x] `executePhpFile()` pad-restrictie
- [x] IP spoofing fix in MQTTTracker
- [x] Debug uitgezet in admin config
- [x] Cookie security (Secure/HttpOnly/SameSite)
- [x] Dead code verwijderd
- [x] `htmlspecialchars()` op bestandspad gecorrigeerd
- [x] Ongebruikte methode `scanForPageNames()` verwijderd
- [x] Breadcrumb titels geescaped
- [x] Taalparameter in zoekresultaat-URLs
- [x] Operator precedence bug in MQTTTracker
- [x] Hardcoded strings vervangen
- [x] HTML lang attribuut dynamisch gemaakt
- [x] console.log verwijderd
- [x] Sidebar toggle aria attributes

## 🔴 Nog openstaand

### Kritiek
- [ ] **Plugin auto-loading** — Elke map in `plugins/` wordt blind geladen zonder allowlist of validatie (`PluginManager.php:40` in docs/TODO.md)

### Hoog
- [ ] **autoLinkPageTitles()** — Regex kan geneste `<a>` tags produceren (`CodePressCMS.php`)
- [ ] **MQTT wachtwoord** — Credentials in plain text JSON (`MQTTTracker.php`)
- [ ] **Markdown editor** — WYSIWYG/split-view Markdown editor integreren in content-edit (bijv. EasyMDE, SimpleMDE, of Toast UI Editor). Live preview, toolbar met opmaakknoppen, drag & drop afbeeldingen
- [ ] **Plugin API** — Uitgebreide API voor plugins zodat ze kunnen inhaken op CMS events (hooks/filters): `onPageLoad`, `onBeforeRender`, `onAfterRender`, `onSearch`, `onMenuBuild`

### Medium
- [ ] **ctime is geen creatietijd op Linux** — `stat()` ctime is inode-wijzigingstijd. Deels ondervangen: frontmatter `created` heeft voorrang en de footer verbergt de datum als beide gelijk zijn (`CodePressCMS.php`)
- [ ] **Wachtwoord wijzigen eigen account** — Apart formulier voor ingelogde gebruiker om eigen wachtwoord te wijzigen (met huidig wachtwoord verificatie)
- [ ] **Bestand uploaden** — Uploaden naar andere mappen dan `-assets/` via admin Content pagina
- [ ] **Content preview** — Live preview van Markdown/HTML content naast de editor
- [ ] **Backups terugzetten** — Versies uit `content/-backups/` bekijken en herstellen vanuit de admin

### Laag
- [ ] **Geen type hints** — Ontbrekende type declarations op properties en methoden
- [ ] **Public properties** — `$config`, `$currentLanguage`, `$searchResults` zouden private moeten zijn
- [ ] **Inline CSS** — ~250 regels statische CSS in template i.p.v. extern bestand
- [ ] **style.css is Bootstrap** — Bestandsnaam is misleidend, Bootstrap wordt mogelijk dubbel geladen
- [ ] **Geen error handling op `file_get_contents()`** — Meerdere calls zonder return-check
- [ ] **Logger slikt fouten** — `@file_put_contents()` met error suppression
- [ ] **mobile.css override Bootstrap utilities** met `!important`
- [ ] **Drag & drop** — Bestanden herordenen/verplaatsen via drag & drop
- [ ] **Dark mode** — Admin panel dark mode toggle
- [ ] **Responsive admin** — Admin sidebar inklapbaar op mobiel (nu is het gestacked)
- [ ] **stats.json bij hoog verkeer** — Nu één schrijfactie met LOCK_EX per request. Bij veel verkeer eventueel opsplitsen naar dagbestanden of APCu
- [ ] **Steden op de kaart** — Nu alleen landniveau; met een City-database ook stippen per stad plotten
- [ ] **Kleine landen op de kaart** — Natural Earth 110m bevat geen Monaco, Vaticaanstad, Liechtenstein en Singapore; eventueel 50m-dataset gebruiken