WebSVN – oidplus – Diff – /trunk/includes/classes/OIDplusAuthContentStoreJWT.class.php

 // phpcs:disable PSR1.Files.SideEffects
 \defined('INSIDE_OIDPLUS') or die;
 // phpcs:enable PSR1.Files.SideEffects
 /**
- * Auth content store for JWT tokens ("Remember me" cookies, Automated AJAX argument, or REST Bearer)
+ * Auth content store for JWT tokens (web browser login cookies, Automated AJAX argument, or REST Bearer)
  */
-class OIDplusAuthContentStoreJWT extends OIDplusAuthContentStore {
+class OIDplusAuthContentStoreJWT {
         /**
          * Cookie name for the JWT auth token
          */
         const COOKIE_NAME = 'OIDPLUS_AUTH_JWT';
         /**
+         * Token generator; must be one of OIDplusAuthContentStoreJWT::JWT_GENERATOR_*
+         */
+        const CLAIM_GENERATOR = 'urn:oid:1.3.6.1.4.1.37476.2.5.2.7.1';
+        /**
+         * List of logged-in users
+         */
+        const CLAIM_LOGIN_LIST = 'urn:oid:1.3.6.1.4.1.37476.2.5.2.7.2';
+        /**
+         * SSH = Server Secret Hash
+         */
+        const CLAIM_SSH = 'urn:oid:1.3.6.1.4.1.37476.2.5.2.7.3';
+        /**
+         * IP-Adress limit
+         */
+        const CLAIM_LIMIT_IP = 'urn:oid:1.3.6.1.4.1.37476.2.5.2.7.4';
+        /**
          * "Automated AJAX" plugin
          */
         const JWT_GENERATOR_AJAX   = 10;
         /**
          * "REST API" plugin
          */
         const JWT_GENERATOR_REST   = 20;
         /**
-         * "Remember me" login method
+         * Web browser login method
          */
         const JWT_GENERATOR_LOGIN  = 40;
         /**
          * "Manually crafted" JWT tokens
          */
          */
         private static function generatorName($gen) {
                 // Note: The strings are not translated, because the name is used in config keys or logs
                 if ($gen === self::JWT_GENERATOR_AJAX)   return 'Automated AJAX calls';
                 if ($gen === self::JWT_GENERATOR_REST)   return 'REST API';
-                if ($gen === self::JWT_GENERATOR_LOGIN)  return 'Login ("Remember me")';
+                if ($gen === self::JWT_GENERATOR_LOGIN)  return 'Browser login';
                 if ($gen === self::JWT_GENERATOR_MANUAL) return 'Manually created';
                 return 'Unknown generator';
+        }
         /**
                 $cfg = self::jwtGetBlacklistConfigKey($gen, $sub);
                 $bl_time = time()-1;
                 $gen_desc = self::generatorName($gen);
-                OIDplus::config()->prepareConfigKey($cfg, 'Revoke timestamp of all JWT tokens for $sub with generator $gen ($gen_desc)', "$bl_time", OIDplusConfig::PROTECTION_HIDDEN, function($value) {});
+                OIDplus::config()->prepareConfigKey($cfg, "Revoke timestamp of all JWT tokens for $sub with generator $gen ($gen_desc)", "$bl_time", OIDplusConfig::PROTECTION_HIDDEN, function($value) {});
                 OIDplus::config()->setValue($cfg, $bl_time);
+        }
         /**
          * @param int $gen OIDplusAuthContentStoreJWT::JWT_GENERATOR_...
          * We include a hash of the server-secret here (ssh = server-secret-hash), so that the JWT can be invalidated by changing the server-secret
          * @return string
          * @throws OIDplusException
          */
         private static function getSsh(): string {
-                return OIDplus::authUtils()->makeSecret(['bb1aebd6-fe6a-11ed-a553-3c4a92df8582']);
+                $hexadecimal_string = OIDplus::authUtils()->makeSecret(['bb1aebd6-fe6a-11ed-a553-3c4a92df8582']);
+                return base64_encode(pack('H*',$hexadecimal_string));
+        }
         /**
          * Do various checks if the token is allowed and not blacklisted
-         * @param OIDplusAuthContentStore $contentProvider
+         * @param OIDplusAuthContentStoreJWT $contentProvider
          * @param int|null $validGenerators Bitmask which generators to allow (null = allow all)
          * @return void
          * @throws OIDplusException
          */
-        private static function jwtSecurityCheck(OIDplusAuthContentStore $contentProvider, int $validGenerators=null) {
+        private static function jwtSecurityCheck(OIDplusAuthContentStoreJWT $contentProvider, int $validGenerators=null) {
                 // Check if the token is intended for us
                 if ($contentProvider->getValue('aud','') !== OIDplus::getEditionInfo()['jwtaud']) {
                         throw new OIDplusException(_L('Token has wrong audience'));
+                }
-                if ($contentProvider->getValue('oidplus_ssh', '') !== self::getSsh()) {
+                if ($contentProvider->getValue(self::CLAIM_SSH, '') !== self::getSsh()) {
                         throw new OIDplusException(_L('"Server Secret" was changed; therefore the JWT is not valid anymore'));
+                }
-                $gen = $contentProvider->getValue('oidplus_generator', -1);
+                $gen = $contentProvider->getValue(self::CLAIM_GENERATOR, -1);
                 $has_admin = $contentProvider->isAdminLoggedIn();
                 $has_ra = $contentProvider->raNumLoggedIn() > 0;
                 // Check if the token generator is allowed
                                 // Generator: plugins/viathinksoft/raPages/911_rest_api/OIDplusPageRaRestApi.class.php
                                 throw new OIDplusException(_L('The administrator has disabled this feature. (Base configuration setting %1).','JWT_ALLOW_REST_USER'));
+                        }
+                }
                 else if ($gen === self::JWT_GENERATOR_LOGIN) {
-                        // Used for feature "Remember me" (use JWT token in a cookie as alternative to PHP session):
+                        // Used for web browser login (use JWT token in a cookie as alternative to PHP session):
                         // - No PHP session will be used
                         // - Session will not be bound to IP address (therefore, you can switch between mobile/WiFi for example)
                         // - No server-side session needed
                         if (($has_admin) && !OIDplus::baseConfig()->getValue('JWT_ALLOW_LOGIN_ADMIN', true)) {
                                 throw new OIDplusException(_L('The administrator has disabled this feature. (Base configuration setting %1).','JWT_ALLOW_LOGIN_ADMIN'));
                         throw new OIDplusException(_L('Token generator %1 not recognized',$gen));
+                }
                 // Make sure that the IAT (issued at time) isn't in a blacklisted timeframe
                 // When an user believes that a token was compromised, then they can blacklist the tokens identified by their "iat" ("Issued at") property
-                // When a user logs out of a "remember me" session, the JWT token will be blacklisted as well
+                // When a user logs out of a web browser session, the JWT token will be blacklisted as well
-                // Small side effect: All "remember me" sessions of that user will be revoked then
+                // Small side effect: All web browser login sessions of that user will be revoked then
                 $iat = $contentProvider->getValue('iat',0);
                 if (($iat-120/*leeway 2min*/) > time()) {
                         // Token was created in the future. Something is wrong!
                         throw new OIDplusException(_L('JWT Token cannot be verified because the server time is wrong'));
+                }
+                        }
+                }
                 // Optional feature: Limit the JWT to a specific IP address
                 // Currently not used in OIDplus
-                $ip = $contentProvider->getValue('oidplus_limit_ip','');
+                $ip = $contentProvider->getValue(self::CLAIM_LIMIT_IP, null);
-                if ($ip !== '') {
+                if (!is_null($ip)) {
                         if (isset($_SERVER['REMOTE_ADDR']) && ($ip !== $_SERVER['REMOTE_ADDR'])) {
                                 throw new OIDplusException(_L('Your IP address is not allowed to use this token'));
+                        }
+                }
          */
         public function destroySession() {
                 OIDplus::cookieUtils()->unsetcookie(self::COOKIE_NAME);
+        }
+        // RA authentication functions (low-level)
+        /**
+         * @param string $email
+         * @return void
+         */
+        public function raLogin(string $email) {
+                if ($email == 'admin') return;
+                $list = $this->getValue(self::CLAIM_LOGIN_LIST, null);
+                if (is_null($list)) $list = [];
+                if (!in_array($email, $list)) $list[] = $email;
+                $this->setValue(self::CLAIM_LOGIN_LIST, $list);
+        }
+        /**
+         * @return int
+         */
+        public function raNumLoggedIn(): int {
+                return count($this->loggedInRaList());
+        }
+        /**
+         * @return OIDplusRA[]
+         */
+        public function loggedInRaList(): array {
+                $list = $this->getValue(self::CLAIM_LOGIN_LIST, null);
+                if (is_null($list)) $list = [];
+                $res = array();
+                foreach (array_unique($list) as $username) {
+                        if ($username == '') continue; // should not happen
+                        if ($username == 'admin') continue;
+                        $res[] = new OIDplusRA($username);
+                }
+                return $res;
+        }
+        /**
+         * @param string $email
+         * @return bool
+         */
+        public function isRaLoggedIn(string $email): bool {
+                foreach ($this->loggedInRaList() as $ra) {
+                        if ($email == $ra->raEmail()) return true;
+                }
+                return false;
+        }
         /**
          * @param string $email
          * @return void
          * @throws OIDplusException
          */
         public function raLogout(string $email) {
+                if ($email == 'admin') return;
-                $gen = $this->getValue('oidplus_generator', -1);
+                $gen = $this->getValue(self::CLAIM_GENERATOR, -1);
                 if ($gen >= 0) self::jwtBlacklist($gen, $email);
+                $list = $this->getValue(self::CLAIM_LOGIN_LIST, null);
+                if (is_null($list)) $list = [];
-                parent::raLogout($email);
+                $key = array_search($email, $list);
+                if ($key !== false) unset($list[$key]);
+                $this->setValue(self::CLAIM_LOGIN_LIST, $list);
+        }
         /**
          * @param string $email
          * @param string $loginfo
         public function raLogoutEx(string $email, string &$loginfo) {
                 $this->raLogout($email);
                 $loginfo = 'from JWT session';
+        }
+        // Admin authentication functions (low-level)
+        /**
+         * @return void
+         */
+        public function adminLogin() {
+                $list = $this->getValue(self::CLAIM_LOGIN_LIST, null);
+                if (is_null($list)) $list = [];
+                if (!in_array('admin', $list)) $list[] = 'admin';
+                $this->setValue(self::CLAIM_LOGIN_LIST, $list);
+        }
+        /**
+         * @return bool
+         */
+        public function isAdminLoggedIn(): bool {
+                $list = $this->getValue(self::CLAIM_LOGIN_LIST, null);
+                if (is_null($list)) $list = [];
+                return in_array('admin', $list);
+        }
         /**
          * @return void
          * @throws OIDplusException
          */
         public function adminLogout() {
-                $gen = $this->getValue('oidplus_generator', -1);
+                $gen = $this->getValue(self::CLAIM_GENERATOR, -1);
                 if ($gen >= 0) self::jwtBlacklist($gen, 'admin');
+                $list = $this->getValue(self::CLAIM_LOGIN_LIST, null);
+                if (is_null($list)) $list = [];
-                parent::adminLogout();
+                $key = array_search('admin', $list);
+                if ($key !== false) unset($list[$key]);
+                $this->setValue(self::CLAIM_LOGIN_LIST, $list);
+        }
         /**
          * @param string $loginfo
          * @return void
+        }
         private static $contentProvider = null;
         /**
-         * @return OIDplusAuthContentStore|null
+         * @return OIDplusAuthContentStoreJWT|null
          * @throws OIDplusException
          */
-        public static function getActiveProvider()/*: ?OIDplusAuthContentStore*/ {
+        public static function getActiveProvider()/*: ?OIDplusAuthContentStoreJWT*/ {
                 if (!self::$contentProvider) {
                         $tmp = null;
                         $silent_error = false;
                                                 self::jwtSecurityCheck($tmp, self::JWT_GENERATOR_REST | self::JWT_GENERATOR_MANUAL);
+                                        }
                                 } else {
-                                        // A web-visitor (HTML and AJAX, but not REST) can use a JWT "remember me" Cookie
+                                        // A web-visitor (HTML and AJAX, but not REST) can use a JWT Cookie
                                         if (isset($_COOKIE[self::COOKIE_NAME])) {
                                                 $silent_error = true;
                                                 $tmp = new OIDplusAuthContentStoreJWT();
                                                 $tmp->loadJWT($_COOKIE[self::COOKIE_NAME]);
                                                 self::jwtSecurityCheck($tmp, self::JWT_GENERATOR_LOGIN | self::JWT_GENERATOR_MANUAL);
+                                        }
-                                        // AJAX may additionally use GET/POST automated AJAX (in addition to the normal JWT "remember me" Cookie)
+                                        // AJAX may additionally use GET/POST automated AJAX (in addition to the normal web browser login Cookie)
                                         if (isset($_SERVER['SCRIPT_FILENAME']) && (strtolower(basename($_SERVER['SCRIPT_FILENAME'])) !== 'ajax.php')) {
                                                 if (isset($_POST[self::COOKIE_NAME])) {
                                                         $silent_error = false;
                                                         $tmp = new OIDplusAuthContentStoreJWT();
                                                         $tmp->loadJWT($_POST[self::COOKIE_NAME]);
                 if (is_null(self::getActiveProvider())) {
                         $this->raLogin($email);
                         $loginfo = 'into new JWT session';
                         self::$contentProvider = $this;
                 } else {
-                        $gen = $this->getValue('oidplus_generator',-1);
+                        $gen = $this->getValue(self::CLAIM_GENERATOR,-1);
                         switch ($gen) {
                                 case OIDplusAuthContentStoreJWT::JWT_GENERATOR_AJAX :
                                 case OIDplusAuthContentStoreJWT::JWT_GENERATOR_REST :
                                 case OIDplusAuthContentStoreJWT::JWT_GENERATOR_MANUAL :
                                         throw new OIDplusException(_L('This kind of JWT token cannot be altered. Therefore you cannot do this action.'));
                                 case OIDplusAuthContentStoreJWT::JWT_GENERATOR_LOGIN :
                                         if (!OIDplus::baseConfig()->getValue('JWT_ALLOW_LOGIN_USER', true)) {
-                                                throw new OIDplusException(_L('You cannot add this login credential to your existing "remember me" session. You need to log-out first.'));
+                                                throw new OIDplusException(_L('The administrator has disabled this feature. (Base configuration setting %1).','JWT_ALLOW_LOGIN_USER'));
+                                        }
                                         break;
                                 default:
                                         assert(false); // This cannot happen because jwtSecurityCheck will check for unknown generators
                                         break;
                 if (is_null(self::getActiveProvider())) {
                         $this->adminLogin();
                         $loginfo = 'into new JWT session';
                         self::$contentProvider = $this;
                 } else {
-                        $gen = $this->getValue('oidplus_generator',-1);
+                        $gen = $this->getValue(self::CLAIM_GENERATOR,-1);
                         switch ($gen) {
                                 case OIDplusAuthContentStoreJWT::JWT_GENERATOR_AJAX :
                                 case OIDplusAuthContentStoreJWT::JWT_GENERATOR_REST :
                                 case OIDplusAuthContentStoreJWT::JWT_GENERATOR_MANUAL :
                                         throw new OIDplusException(_L('This kind of JWT token cannot be altered. Therefore you cannot do this action.'));
                                 case OIDplusAuthContentStoreJWT::JWT_GENERATOR_LOGIN :
                                         if (!OIDplus::baseConfig()->getValue('JWT_ALLOW_LOGIN_ADMIN', true)) {
-                                                throw new OIDplusException(_L('You cannot add this login credential to your existing "remember me" session. You need to log-out first.'));
+                                                throw new OIDplusException(_L('The administrator has disabled this feature. (Base configuration setting %1).','JWT_ALLOW_LOGIN_ADMIN'));
+                                        }
                                         break;
                                 default:
                                         assert(false); // This cannot happen because jwtSecurityCheck will check for unknown generators
                                         break;
          * @return string
          * @throws OIDplusException
          */
         public function getJWTToken(): string {
                 $payload = $this->content;
-                $payload["oidplus_ssh"] = self::getSsh(); // SSH = Server Secret Hash
+                $payload[self::CLAIM_SSH] = self::getSsh(); // SSH = Server Secret Hash
                 $payload["iss"] = OIDplus::getEditionInfo()['jwtaud'];
                 $payload["aud"] = OIDplus::getEditionInfo()['jwtaud'];
                 $payload["jti"] = gen_uuid();
                 $payload["iat"] = time();

Subversion Repositories oidplus

oidplus/trunk/includes/classes/OIDplusAuthContentStoreJWT.class.php @ 1301 – Rev 1303 → 1305