добавил контроллер аутентификации, который срабатывает после ввода логина пароля (да, я знаю, что назвать надо было по другому)
This commit is contained in:
vasya
@@ -0,0 +1,246 @@
|
||||
<?php
|
||||
|
||||
namespace App\Http\Controllers;
|
||||
|
||||
use Illuminate\Http\Request;
|
||||
use Illuminate\Support\Facades\Auth;
|
||||
use LdapRecord\Models\ActiveDirectory\User as LdapUserInfo;
|
||||
use App\Models\User;
|
||||
use App\Facades\UserContext;
|
||||
use App\Services\AuthorizationService;
|
||||
use App\Services\ApiResponder;
|
||||
use App\Dto\ApiResponseDto;
|
||||
|
||||
class LoginController extends Controller
|
||||
{
|
||||
#Гаврилов
|
||||
//КОГДА ПЕРЕЙДЕМ НА ГРУППЫ, ПОМЕНЯТЬ НА АДМИНСКУЮ ГРУППУ? ИЛИ ОСТАВИТЬ РАССЫЛКУ?
|
||||
//ПЕРЕНЕСИ В .ENV И ВНИЗУ ПО КОДУ ГДЕ ОБРАЩАЕШЬСЯ К ЭТОМУ СВОЙСТВУ КЛАССА ПЕРЕПИШИ НА ПОЛУЧЕНИЕ СВОЙСТВА ИЗ ПЕРЕМЕННОЙ ОКРУЖЕНИЯ
|
||||
/**
|
||||
* @var string почтовая рассылка, куда входят админы
|
||||
*/
|
||||
private $adminGroup = '# Magic_admins';
|
||||
/**
|
||||
* @var array массив групп, которые не должны участвовать в авторизации пользователя и поэтому могут не храниться
|
||||
*/
|
||||
#Гаврилов
|
||||
//ИСПОЛЬЗУЙ МАССИВ НИЖЕ, ЧТОБЫ УДАЛЯТЬ ГРУППЫ И НЕ ХРАНИТЬ ИХ В ПРОФИЛЕ ПОЛЬЗОВАТЕЛЯ. ИЛИ ЗАБИТЬ ХЕР И ХРАНИТЬ ВСЕ? ТОГДА УДАЛИ МАССИВ НИЖЕ
|
||||
private $unnecessaryGroups = array(
|
||||
'MCO.',
|
||||
'ARSNOVA.',
|
||||
'CHATBOT.',
|
||||
'FOA_PROJECTS.',
|
||||
'MAXOPTRA.',
|
||||
'WEBSIGNER.',
|
||||
'ECM.',
|
||||
'BASIS.',
|
||||
'MCO_DOCUMENT.',
|
||||
'FACTOR.',
|
||||
'BIP.',
|
||||
'NKK.',
|
||||
'CHATS.',
|
||||
'IB_BSC.',
|
||||
'DASHAAI.',
|
||||
'VDI.',
|
||||
'CTX',
|
||||
'AP.AE.',
|
||||
'Way4',
|
||||
'sg.',
|
||||
'AD.TEDDY',
|
||||
'AP.APPV_',
|
||||
'AP.BI_',
|
||||
'AP.Citrix_',
|
||||
'AP.CSD_',
|
||||
'AP.EFK_',
|
||||
'AP.FlexiCapture_',
|
||||
'AP.HPSM.ACCESS.1',
|
||||
'AP.HPSM.ACCESS.3',
|
||||
'AP.HPSM.APPR_BR.Collection.',
|
||||
'AP.HPSM.APPR_BR.CS.',
|
||||
'AP.HPSM.ACCESS.CC',
|
||||
'AP.HPSM.ACCESS.123',
|
||||
'AP.HPSM.ACCESS.1.2',
|
||||
'AP.HPSM.APPR',
|
||||
'AP.OCP',
|
||||
'AP.IBS_',
|
||||
'AP.Intranet_',
|
||||
'AP.Intranet.',
|
||||
'AP.Jenkins_',
|
||||
'AP.Kibana.',
|
||||
'AP.LICA.',
|
||||
'AP.MailSteam.',
|
||||
'AP.MCO_',
|
||||
'AP.MDW.',
|
||||
'AP.POCHTA_',
|
||||
'AP.PREPROD',
|
||||
'AP.Prometheus',
|
||||
'AP.RDS_',
|
||||
'AP.SAS_',
|
||||
'AP.Seguranzza_',
|
||||
'AP.TEST.LICA.',
|
||||
'AP.Test.MCO_',
|
||||
'AP.TEST',
|
||||
'App_',
|
||||
'BTA_',
|
||||
'Calculations ',
|
||||
'Cards_',
|
||||
'CC.',
|
||||
'CCS_',
|
||||
'Citrix',
|
||||
'Collection_HR_',
|
||||
'Collection_All',
|
||||
'CS_',
|
||||
'CSD_',
|
||||
'DA_',
|
||||
'DB.',
|
||||
'DB_',
|
||||
'Deny_',
|
||||
'Diasoft ',
|
||||
'Digital ',
|
||||
'DOR_',
|
||||
'ECM_',
|
||||
'FS.',
|
||||
'FW.',
|
||||
'INFO_',
|
||||
'MDC.',
|
||||
'NRM_Collection',
|
||||
'PFA.',
|
||||
'RenTest_',
|
||||
'ReportingGroup ',
|
||||
'RS.',
|
||||
'SG.',
|
||||
'SP.',
|
||||
'SRV',
|
||||
'SRVFI09_',
|
||||
'SSO_',
|
||||
'test',
|
||||
'TR_',
|
||||
'WWW_',
|
||||
'MailStream',
|
||||
'SRVTST',
|
||||
);
|
||||
|
||||
|
||||
public function __construct(private AuthorizationService $authorizationService, private ApiResponder $apiResponder) {}
|
||||
|
||||
#Гаврилов
|
||||
//ПЕРЕИМЕНУЙ КОНТРОЛЛЕР НА AUTHcoNTROLLER
|
||||
|
||||
/**
|
||||
* Метод завершения пользовательской сессии
|
||||
*
|
||||
* @return void
|
||||
*/
|
||||
public function logout()
|
||||
{
|
||||
//Удаляем все sanctum токены пользователя. Удаление всех токенов приведет к выходу пользователя со всех устройств, где он был залогинен в Magic
|
||||
User::where('login', UserContext::getUserLogin())->first()->tokens()->delete();
|
||||
session()->invalidate();
|
||||
#Гаврилов
|
||||
//ВЫЗОВ СКРИПТА НА СТАРОМ МЭДЖИКЕ ДЛЯ УДАЛЕНИЯ КУК АУТЕНТИФИКАЦИИ (ЛОГИН И ГРУППЫ)
|
||||
return redirect('/login');
|
||||
}
|
||||
|
||||
|
||||
#Гаврилов
|
||||
//РАЗНЕСИ ЛОГИКУ МЕЖДУ МЕТОДАМИ, А ТО ПОКА ВСЯ ЛОГИКА В ОДНОМ МЕТОД LDAPCHECK
|
||||
public function ldapCheckUser(Request $request)
|
||||
{
|
||||
if ($request->_auth_login) {
|
||||
if (Auth::attempt([
|
||||
'samaccountname' => $request->_auth_login,
|
||||
'password' => $request->_auth_password,
|
||||
])) {
|
||||
|
||||
$userGroups = $this->getUserGroups($request->_auth_login);
|
||||
session()->put('_auth_login', $request->_auth_login);
|
||||
session()->put('_auth_groups', $userGroups);
|
||||
//Если пользователь зашел впервые - записываем его логин в таблицу users. Она нужна для корректного взаимодействия с пакетом Sanctum
|
||||
$user = User::firstOrCreate(
|
||||
['login' => $request->_auth_login],
|
||||
);
|
||||
//Удаляем все предыдущие sanctum токены пользователя
|
||||
User::where('login', $request->_auth_login)->first()->tokens()->delete();
|
||||
//Определяем на какую страницу нужно бросить пользователя после успешной аутентификации. По умолчанию кидаем в меню
|
||||
$redirectUrl = session()->has('_auth_prev_page') ? session()->get('_auth_prev_page') : ('/menu');
|
||||
$isAdminFlag = in_array($this->adminGroup, $userGroups);
|
||||
//Кладем в сессию информацию о том является ли пользователь админом
|
||||
session()->put('is_admin', $isAdminFlag);
|
||||
//Устанавливаем в пользовательский сервис параметры пользователя
|
||||
UserContext::setUserLogin($request->_auth_login);
|
||||
UserContext::setUserADGroups($userGroups);
|
||||
UserContext::setUserEmails($userGroups);
|
||||
UserContext::setIsAdminFlag($isAdminFlag);
|
||||
$userPermissions = $this->authorizationService->getUserAppPermissions();
|
||||
UserContext::setUserAppPermissions($userPermissions);
|
||||
//Генерим Sanctum токен, чтобы поместить его в куки при редиректе
|
||||
$token = $user->createToken('sanctum-token', [
|
||||
'permissions' => $userPermissions
|
||||
//Устанавливаем время жизни sanctum токена синхронно с временем жизни сессии из конфига
|
||||
], now()->addHours(config('app.session_life_time') / 60))->plainTextToken;
|
||||
return redirect($redirectUrl)
|
||||
->withCookie('sanctum_token', $token, 60 * 24, '/', null, true, true);
|
||||
} else {
|
||||
#Гаврилов
|
||||
//СООБЩЕНИЕ ОБ ОШИБКЕ ПРИ НЕУДАЧНОЙ АУТЕНТИФИКАЦИИ
|
||||
return redirect('/login');
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
|
||||
/**
|
||||
* Метод фонового обновления санктум токена при получении 401 ошибки в ответе api ендпоинта
|
||||
*
|
||||
* @param Request $request
|
||||
* @return void
|
||||
*/
|
||||
public function silentRefreshUserSanctumToken(Request $request)
|
||||
{
|
||||
//Если сессия истекла - возвращаем 401 ошибку и редирект на /login в axios
|
||||
if (!Auth::check()) {
|
||||
$this->apiResponder->setDto(new ApiResponseDto(null, ['token_refresh' => false]));
|
||||
return response()->json($this->apiResponder->error(), 401);
|
||||
}
|
||||
$token = $request->cookie('sanctum_token');
|
||||
$accessToken = \Laravel\Sanctum\PersonalAccessToken::findToken($token);
|
||||
//Если токен "протух" - продлеваем его на час
|
||||
if (now()->diffInMinutes($accessToken->expires_at, false) < 1) {
|
||||
$accessToken->update(
|
||||
[
|
||||
'expires_at' => now()->addHours(1)
|
||||
]
|
||||
);
|
||||
$this->apiResponder->setDto(new ApiResponseDto(null, ['token_refresh' => true]));
|
||||
return response()->json($this->apiResponder->success());
|
||||
} else {
|
||||
//Если токен еще "свежий" - значит причина 401 ошибки в чем-то другом. Не обновляем токен, просто возвращаем 401 ошибку и редирект на /login в axios
|
||||
$this->apiResponder->setDto(new ApiResponseDto(null, ['token_refresh' => false]));
|
||||
return response()->json($this->apiResponder->error(), 401);
|
||||
}
|
||||
}
|
||||
|
||||
/**
|
||||
* Метод получает группы пользователя из ldap
|
||||
*
|
||||
* @param string $userLogin логин пользователя, чьи группы получаем
|
||||
* @return array
|
||||
*/
|
||||
public function getUserGroups($userLogin)
|
||||
{
|
||||
$userGroups = [];
|
||||
$ldapUser = LdapUserInfo::findBy('samaccountname', $userLogin);
|
||||
$ldapUser->memberOf;
|
||||
if (isset($ldapUser->memberOf)) {
|
||||
foreach ($ldapUser->memberOf as $ldapGroupInfo) {
|
||||
$CN_group = substr($ldapGroupInfo, 0, stripos($ldapGroupInfo, ","));
|
||||
$groupName = str_replace(array('CN=', '\\'), array('', ''), $CN_group);
|
||||
$clearGroupName = trim($groupName);
|
||||
if ($clearGroupName && $clearGroupName == str_replace($this->unnecessaryGroups, '', $clearGroupName)) {
|
||||
$userGroups[] = $clearGroupName;
|
||||
}
|
||||
}
|
||||
}
|
||||
return $userGroups;
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,77 @@
|
||||
<?php
|
||||
|
||||
namespace App\Http\Middleware;
|
||||
|
||||
use Closure;
|
||||
use Illuminate\Http\Request;
|
||||
use Illuminate\Support\Facades\Auth;
|
||||
use Symfony\Component\HttpFoundation\Response;
|
||||
use App\Facades\UserContext;
|
||||
use App\Models\User;
|
||||
//очереди для чтения нотификаций
|
||||
use Illuminate\Support\Facades\Redis;
|
||||
use Laravel\Sanctum\PersonalAccessToken;
|
||||
|
||||
/**
|
||||
* Глобальный посредник аутентификации на платформе Magic для всех роутов платформы
|
||||
*/
|
||||
class AuthenticateMagic
|
||||
{
|
||||
/**
|
||||
* Handle an incoming request.
|
||||
*
|
||||
* @param \Closure(\Illuminate\Http\Request): (\Symfony\Component\HttpFoundation\Response) $next
|
||||
*/
|
||||
public function handle(Request $request, Closure $next): Response
|
||||
{
|
||||
|
||||
//TODO ПРОВЕРИТЬ
|
||||
//Если сессия не стартовала возможно пользователь сразу обращается к api ендпоинту (ПРОВЕРИТЬ)
|
||||
if (session()->isStarted()) {
|
||||
if (session()->has('_auth_login')) {
|
||||
//гаврилов. получение токена
|
||||
// $token = $request->user();
|
||||
// $userId = User::where('login', $token->getAttributes()['samaccountname'][0])->get()->toArray()[0]['id'];
|
||||
// $tokenExpires = PersonalAccessToken::where('tokenable_id', $userId)->get()->toArray()[0]['expires_at'];
|
||||
// echo '<pre>'; var_dump(new \DateTime($tokenExpires)); echo'</pre>';
|
||||
// echo '<pre>'; var_dump(PersonalAccessToken::where('tokenable_id', $userId)->get()->toArray()[0]['expires_at']); echo'</pre>';
|
||||
//Если токен истекает менее через 60 минут, продлеваем его на 2 часа. Ситуации, что сессия протухла, а токен продолжает жить не может случиться, так как апи запросы с фронта отправляют куку аутентификации, которая проверяется при $this->authenticate. Если она протухла, возвратится 401 ошибку.
|
||||
// if ($token->expires_at->diffInMinutes(now()) < 60) {
|
||||
// $token->update(
|
||||
// [
|
||||
// 'expires_at' => now()->addHours(2)
|
||||
// ]
|
||||
// );
|
||||
// }
|
||||
|
||||
//Через фасад устанавливаем все значения аутентифицированного пользователя, чтобы через этот же фасад можно было и любого места в приложении их получить.
|
||||
UserContext::setUserLogin(session()->get('_auth_login'));
|
||||
$userGroups = session()->get('_auth_groups');
|
||||
UserContext::setUserADGroups($userGroups);
|
||||
UserContext::setUserEmails($userGroups);
|
||||
UserContext::setIsAdminFlag(session()->get('is_admin'));
|
||||
//На этапе посредника мы не проводим повторное определение ролей пользователя, это было сделано в LoginController в процессе авторизации после успешной аутентификации. Здесь мы уже берем его доступы из таблицы с токенами
|
||||
$user = User::where('login', UserContext::getUserLogin())->first();
|
||||
UserContext::setUserId($user->id);
|
||||
UserContext::setUserAppPermissions($user->tokens()->latest()->first()->abilities['permissions']);
|
||||
#Гаврилов
|
||||
//Насксолько я помню, это связано с механизмом получения нотификаций на фронте (через отдельный компонент React) на случай, если нотификации формируются на бэке и должны читаться фронтом сразу при рендеринге. Обычно, нотификации формируются после запроса с фронта, например, при fetch запросе на отправку заявки на такси и сразу же рендерятся на этой же странице после выполнения fetch запроса, но бывают ситуации, когда пользователя с бэке редиректит на другую страницу, в результате чего тяряется "контекст" нотификаций. Я как-то настраивал чтение редис очередей на любой странице, чтобы при рендеринге любой страницы сразу проверялась есть ли непрочитенная нотификация. Если есть - она читается, отображается и удаляется из очереди. Но может конкретно строка ниже связана с тестированием , уже не помню
|
||||
Redis::setex('notifications', 60, 123);
|
||||
return $next($request);
|
||||
} else {
|
||||
//Получаем адрес предыдущей страницы, на которую хотел попасть пользователь, чтобы направить его после успешной аутентификации на этот адрес
|
||||
$prevPageUrl = explode('/', $_SERVER['REDIRECT_URL']);
|
||||
//Удаляем из URL редиректа пустые сегменты и сегмент с названием приложения (оно подставляется при редиректе само)
|
||||
unset($prevPageUrl[0], $prevPageUrl[1]);
|
||||
//Кладем в сессию адрес страницы. только если это не страница выхода, иначе после аутентификации пользователя сразу выбросит
|
||||
session()->put('_auth_prev_page', implode('/', $prevPageUrl) == 'logout' ? '/menu' : implode('/', $prevPageUrl));
|
||||
return redirect('/login');
|
||||
//редирект на страницу login с сообщением об ошибке
|
||||
}
|
||||
} else {
|
||||
return redirect('/login');
|
||||
//redirect на страницу login после которой точно сессия застартует, так как это webроут, а не api
|
||||
}
|
||||
// return $next($request);
|
||||
}
|
||||
}
|
||||
Reference in New Issue
Block a user