grendervill
cebce0ae3b
Фаза 7, AGENT.md 7.1: провайдеры включаются переменными окружения OAUTH_<PROVIDER>_CLIENT_ID/SECRET, привязка внешнего аккаунта идёт по подтверждённому провайдером email через blind index, вход забаненному на инстансе запрещён, все входы и привязки попадают в события безопасности, привязка — ещё и в аудит инстанса. Внешний идентификатор (subject) хранится только индексом HMAC-SHA-256, токены провайдеров не сохраняются вовсе; state подписывается ключом сессий и ограничен по времени, редирект после входа — только внутренний путь. Если провайдер не настроен, ручка отвечает oauth.provider_not_configured, а клиент показывает человеческий текст вместо кнопки. Клиент: кнопки входа по списку включённых провайдеров на экране входа и раздел «Вход через внешние сервисы» в настройках безопасности; адрес возврата для настроек приложения виден в GET /auth/oauth/providers. Миграция 00019 добавляет таблицу oauth_accounts. Установщик и .env.example знают про OAUTH_* и сохраняют значения при --reconfigure. Тесты: Go — выключенный провайдер, подписанный state (подмена и чужой провайдер), создание и повторный вход, привязка к существующему аккаунту, неподтверждённый email, выключенная регистрация, бан инстанса, mocked провайдер (httptest) для обмена кода; web — кнопки провайдеров и ошибка возврата; серверная ручка отдаёт понятный отказ без настроек.
42 lines
1.5 KiB
TypeScript
42 lines
1.5 KiB
TypeScript
import { request } from './client';
|
|
|
|
/** Провайдер входа, включённый на инстансе (AGENT.md 7.1, Фаза 7). */
|
|
export interface OAuthProvider {
|
|
id: string;
|
|
name: string;
|
|
}
|
|
|
|
export interface OAuthProvidersResponse {
|
|
providers: OAuthProvider[];
|
|
/** Адрес возврата: его оператор прописывает в настройках приложения. */
|
|
redirect_url: string;
|
|
}
|
|
|
|
export function fetchOAuthProviders(signal?: AbortSignal): Promise<OAuthProvidersResponse> {
|
|
return request<OAuthProvidersResponse>(
|
|
'/auth/oauth/providers',
|
|
signal === undefined ? {} : { signal },
|
|
);
|
|
}
|
|
|
|
/**
|
|
* Ссылка входа через провайдера. Браузер уходит по ней целиком (обычная
|
|
* навигация): cookie сессии выставляет сервер после возврата.
|
|
*/
|
|
export function oauthStartURL(provider: string, redirect?: string): string {
|
|
const query = new URLSearchParams();
|
|
if (redirect !== undefined && redirect !== '') {
|
|
query.set('redirect', redirect);
|
|
}
|
|
const suffix = query.toString();
|
|
return `/api/v1/auth/oauth/${encodeURIComponent(provider)}/start${suffix === '' ? '' : `?${suffix}`}`;
|
|
}
|
|
|
|
/** Код ошибки возврата (`?oauth_error=`), если вход через провайдера не удался. */
|
|
export function oauthErrorCode(value: string | null): string | null {
|
|
if (value === null || value === '') {
|
|
return null;
|
|
}
|
|
return value;
|
|
}
|