# Security Report

- PDO prepared statements ব্যবহার করা হয়েছে।
- Password bcrypt hash হিসেবে SQL-এ সংরক্ষিত।
- Login attempt IP অনুযায়ী 15 মিনিটে 5 বার ব্যর্থ হলে সাময়িক block হয়।
- Session ID login-এ regenerate এবং session cookie HttpOnly/SameSite।
- POST form-এ CSRF token ও output-এ HTML escaping আছে।
- Role check server-side করা হয়েছে; financial ও academic route role অনুযায়ী সীমিত।
- `.htaccess` directory listing বন্ধ করে। `storage`, config ও SQL অবশ্যই public web root-এর বাইরে রাখতে হবে।

সীমাবদ্ধতা: production rollout-এর আগে HTTPS বাধ্যতামূলক করুন, database backup automation/restore policy host অনুযায়ী configure করুন, এবং password-change UI-টি আপনার প্রতিষ্ঠান নীতিমতো সম্পূর্ণ করুন।