добавляю web роут для silent_refresh sanctum токена

app/Facades/UserContext.php

@@ -1,18 +0,0 @@
-<?php
-
-namespace App\Facades;
-
-use Illuminate\Support\Facades\Facade;
-
-/**
- * Фасад для доступа к user сервису без инъекции зависимостей
- * 
- * @see \App\Services\UserService
- */
-class UserContext extends Facade
-{
-  protected static function getFacadeAccessor()
-  {
-    return \App\Services\UserService::class;
-  }
-}

app/Http/Controllers/LoginController.php

@@ -1,246 +0,0 @@
-<?php
-
-namespace App\Http\Controllers;
-
-use Illuminate\Http\Request;
-use Illuminate\Support\Facades\Auth;
-use LdapRecord\Models\ActiveDirectory\User as LdapUserInfo;
-use App\Models\User;
-use App\Facades\UserContext;
-use App\Services\AuthorizationService;
-use App\Services\ApiResponder;
-use App\Dto\ApiResponseDto;
-
-class LoginController extends Controller
-{
-  #Гаврилов
-  //КОГДА ПЕРЕЙДЕМ НА ГРУППЫ, ПОМЕНЯТЬ НА АДМИНСКУЮ ГРУППУ? ИЛИ ОСТАВИТЬ РАССЫЛКУ?
-  //ПЕРЕНЕСИ В .ENV И ВНИЗУ ПО КОДУ ГДЕ ОБРАЩАЕШЬСЯ К ЭТОМУ СВОЙСТВУ КЛАССА ПЕРЕПИШИ НА ПОЛУЧЕНИЕ СВОЙСТВА ИЗ ПЕРЕМЕННОЙ ОКРУЖЕНИЯ
-  /**
-   * @var string почтовая рассылка, куда входят админы
-   */
-  private $adminGroup = '# Magic_admins';
-  /**
-   * @var array массив групп, которые не должны участвовать в авторизации пользователя и поэтому могут не храниться
-   */
-  #Гаврилов
-  //ИСПОЛЬЗУЙ МАССИВ НИЖЕ, ЧТОБЫ УДАЛЯТЬ ГРУППЫ И НЕ ХРАНИТЬ ИХ В ПРОФИЛЕ ПОЛЬЗОВАТЕЛЯ. ИЛИ ЗАБИТЬ ХЕР И ХРАНИТЬ ВСЕ? ТОГДА УДАЛИ МАССИВ НИЖЕ
-  private $unnecessaryGroups = array(
-    'MCO.',
-    'ARSNOVA.',
-    'CHATBOT.',
-    'FOA_PROJECTS.',
-    'MAXOPTRA.',
-    'WEBSIGNER.',
-    'ECM.',
-    'BASIS.',
-    'MCO_DOCUMENT.',
-    'FACTOR.',
-    'BIP.',
-    'NKK.',
-    'CHATS.',
-    'IB_BSC.',
-    'DASHAAI.',
-    'VDI.',
-    'CTX',
-    'AP.AE.',
-    'Way4',
-    'sg.',
-    'AD.TEDDY',
-    'AP.APPV_',
-    'AP.BI_',
-    'AP.Citrix_',
-    'AP.CSD_',
-    'AP.EFK_',
-    'AP.FlexiCapture_',
-    'AP.HPSM.ACCESS.1',
-    'AP.HPSM.ACCESS.3',
-    'AP.HPSM.APPR_BR.Collection.',
-    'AP.HPSM.APPR_BR.CS.',
-    'AP.HPSM.ACCESS.CC',
-    'AP.HPSM.ACCESS.123',
-    'AP.HPSM.ACCESS.1.2',
-    'AP.HPSM.APPR',
-    'AP.OCP',
-    'AP.IBS_',
-    'AP.Intranet_',
-    'AP.Intranet.',
-    'AP.Jenkins_',
-    'AP.Kibana.',
-    'AP.LICA.',
-    'AP.MailSteam.',
-    'AP.MCO_',
-    'AP.MDW.',
-    'AP.POCHTA_',
-    'AP.PREPROD',
-    'AP.Prometheus',
-    'AP.RDS_',
-    'AP.SAS_',
-    'AP.Seguranzza_',
-    'AP.TEST.LICA.',
-    'AP.Test.MCO_',
-    'AP.TEST',
-    'App_',
-    'BTA_',
-    'Calculations ',
-    'Cards_',
-    'CC.',
-    'CCS_',
-    'Citrix',
-    'Collection_HR_',
-    'Collection_All',
-    'CS_',
-    'CSD_',
-    'DA_',
-    'DB.',
-    'DB_',
-    'Deny_',
-    'Diasoft ',
-    'Digital ',
-    'DOR_',
-    'ECM_',
-    'FS.',
-    'FW.',
-    'INFO_',
-    'MDC.',
-    'NRM_Collection',
-    'PFA.',
-    'RenTest_',
-    'ReportingGroup ',
-    'RS.',
-    'SG.',
-    'SP.',
-    'SRV',
-    'SRVFI09_',
-    'SSO_',
-    'test',
-    'TR_',
-    'WWW_',
-    'MailStream',
-    'SRVTST',
-  );
-
-
-  public function __construct(private AuthorizationService $authorizationService, private ApiResponder $apiResponder) {}
-
-  #Гаврилов
-  //ПЕРЕИМЕНУЙ КОНТРОЛЛЕР НА AUTHcoNTROLLER
-
-  /**
-   * Метод завершения пользовательской сессии
-   *
-   * @return void
-   */
-  public function logout()
-  {
-    //Удаляем все sanctum токены пользователя. Удаление всех токенов приведет к выходу пользователя со всех устройств, где он был залогинен в Magic
-    User::where('login', UserContext::getUserLogin())->first()->tokens()->delete();
-    session()->invalidate();
-    #Гаврилов
-    //ВЫЗОВ СКРИПТА НА СТАРОМ МЭДЖИКЕ ДЛЯ УДАЛЕНИЯ КУК АУТЕНТИФИКАЦИИ (ЛОГИН И ГРУППЫ)
-    return redirect('/login');
-  }
-
-
-  #Гаврилов
-  //РАЗНЕСИ ЛОГИКУ МЕЖДУ МЕТОДАМИ, А ТО ПОКА ВСЯ ЛОГИКА В ОДНОМ МЕТОД LDAPCHECK
-  public function ldapCheckUser(Request $request)
-  {
-    if ($request->_auth_login) {
-      if (Auth::attempt([
-        'samaccountname' => $request->_auth_login,
-        'password' => $request->_auth_password,
-      ])) {
-
-        $userGroups = $this->getUserGroups($request->_auth_login);
-        session()->put('_auth_login', $request->_auth_login);
-        session()->put('_auth_groups', $userGroups);
-        //Если пользователь зашел впервые - записываем его логин в таблицу users. Она нужна для корректного взаимодействия с пакетом Sanctum
-        $user = User::firstOrCreate(
-          ['login' => $request->_auth_login],
-        );
-        //Удаляем все предыдущие sanctum токены пользователя
-        User::where('login', $request->_auth_login)->first()->tokens()->delete();
-        //Определяем на какую страницу нужно бросить пользователя после успешной аутентификации. По умолчанию кидаем в меню
-        $redirectUrl = session()->has('_auth_prev_page') ? session()->get('_auth_prev_page') : ('/menu');
-        $isAdminFlag = in_array($this->adminGroup, $userGroups);
-        //Кладем в сессию информацию о том является ли пользователь админом
-        session()->put('is_admin', $isAdminFlag);
-        //Устанавливаем в пользовательский сервис параметры пользователя
-        UserContext::setUserLogin($request->_auth_login);
-        UserContext::setUserADGroups($userGroups);
-        UserContext::setUserEmails($userGroups);
-        UserContext::setIsAdminFlag($isAdminFlag);
-        $userPermissions = $this->authorizationService->getUserAppPermissions();
-        UserContext::setUserAppPermissions($userPermissions);
-        //Генерим Sanctum токен, чтобы поместить его в куки при редиректе
-        $token = $user->createToken('sanctum-token', [
-          'permissions' => $userPermissions
-          //Устанавливаем время жизни sanctum токена синхронно с временем жизни сессии из конфига
-        ], now()->addHours(config('app.session_life_time') / 60))->plainTextToken;
-        return redirect($redirectUrl)
-          ->withCookie('sanctum_token', $token, 60 * 24, '/', null, true, true);
-      } else {
-        #Гаврилов
-        //СООБЩЕНИЕ ОБ ОШИБКЕ ПРИ НЕУДАЧНОЙ АУТЕНТИФИКАЦИИ
-        return redirect('/login');
-      }
-    }
-  }
-
-
-  /**
-   * Метод фонового обновления санктум токена при получении 401 ошибки в ответе api ендпоинта
-   *
-   * @param Request $request
-   * @return void
-   */
-  public function silentRefreshUserSanctumToken(Request $request)
-  {
-    //Если сессия истекла - возвращаем 401 ошибку и редирект на /login в axios
-    if (!Auth::check()) {
-      $this->apiResponder->setDto(new ApiResponseDto(null, ['token_refresh' => false]));
-      return response()->json($this->apiResponder->error(), 401);
-    }
-    $token = $request->cookie('sanctum_token');
-    $accessToken = \Laravel\Sanctum\PersonalAccessToken::findToken($token);
-    //Если токен "протух" - продлеваем его на час
-    if (now()->diffInMinutes($accessToken->expires_at, false) < 1) {
-      $accessToken->update(
-        [
-          'expires_at' => now()->addHours(1)
-        ]
-      );
-      $this->apiResponder->setDto(new ApiResponseDto(null, ['token_refresh' => true]));
-      return response()->json($this->apiResponder->success());
-    } else {
-      //Если токен еще "свежий" - значит причина 401 ошибки в чем-то другом. Не обновляем токен, просто возвращаем 401 ошибку и редирект на /login в axios
-      $this->apiResponder->setDto(new ApiResponseDto(null, ['token_refresh' => false]));
-      return response()->json($this->apiResponder->error(), 401);
-    }
-  }
-
-  /**
-   * Метод получает группы пользователя из ldap
-   *
-   * @param string $userLogin логин пользователя, чьи группы получаем
-   * @return array
-   */
-  public function getUserGroups($userLogin)
-  {
-    $userGroups = [];
-    $ldapUser = LdapUserInfo::findBy('samaccountname', $userLogin);
-    $ldapUser->memberOf;
-    if (isset($ldapUser->memberOf)) {
-      foreach ($ldapUser->memberOf as $ldapGroupInfo) {
-        $CN_group = substr($ldapGroupInfo, 0, stripos($ldapGroupInfo, ","));
-        $groupName = str_replace(array('CN=', '\\'), array('', ''), $CN_group);
-        $clearGroupName = trim($groupName);
-        if ($clearGroupName && $clearGroupName == str_replace($this->unnecessaryGroups, '', $clearGroupName)) {
-          $userGroups[] = $clearGroupName;
-        }
-      }
-    }
-    return $userGroups;
-  }
-}

app/Http/Middleware/AuthenticateMagic.php

@@ -1,73 +0,0 @@
-<?php
-
-namespace App\Http\Middleware;
-
-use Closure;
-use Illuminate\Http\Request;
-use Illuminate\Support\Facades\Auth;
-use Symfony\Component\HttpFoundation\Response;
-use App\Facades\UserContext;
-use App\Models\User;
-use Laravel\Sanctum\PersonalAccessToken;
-
-/**
- * Глобальный посредник аутентификации на платформе Magic для всех роутов платформы
- */
-class AuthenticateMagic
-{
-    /**
-     * Handle an incoming request.
-     *
-     * @param  \Closure(\Illuminate\Http\Request): (\Symfony\Component\HttpFoundation\Response)  $next
-     */
-    public function handle(Request $request, Closure $next): Response
-    {
-
-        //TODO ПРОВЕРИТЬ
-        //Если сессия не стартовала возможно пользователь сразу обращается к api ендпоинту (ПРОВЕРИТЬ)
-        if (session()->isStarted()) {
-            if (session()->has('_auth_login')) {
-                //гаврилов. получение токена
-                // $token = $request->user();
-                // $userId = User::where('login', $token->getAttributes()['samaccountname'][0])->get()->toArray()[0]['id'];
-                // $tokenExpires = PersonalAccessToken::where('tokenable_id', $userId)->get()->toArray()[0]['expires_at'];
-                // echo '<pre>'; var_dump(new \DateTime($tokenExpires)); echo'</pre>';
-                // echo '<pre>'; var_dump(PersonalAccessToken::where('tokenable_id', $userId)->get()->toArray()[0]['expires_at']); echo'</pre>';
-                //Если токен истекает менее через 60 минут, продлеваем его на 2 часа. Ситуации, что сессия протухла, а токен продолжает жить не может случиться, так как апи запросы с фронта отправляют куку аутентификации, которая проверяется при $this->authenticate. Если она протухла, возвратится 401 ошибку.
-                // if ($token->expires_at->diffInMinutes(now()) < 60) {
-                //     $token->update(
-                //     [
-                //         'expires_at' => now()->addHours(2)
-                //     ]
-                //     );
-                // }
-
-                //Через фасад устанавливаем все значения аутентифицированного пользователя, чтобы через этот же фасад можно было и любого места в приложении их получить.
-                UserContext::setUserLogin(session()->get('_auth_login'));
-                $userGroups = session()->get('_auth_groups');
-                UserContext::setUserADGroups($userGroups);
-                UserContext::setUserEmails($userGroups);
-                UserContext::setIsAdminFlag(session()->get('is_admin'));
-                //На этапе посредника мы не проводим повторное определение ролей пользователя, это было сделано в LoginController в процессе авторизации после успешной аутентификации. Здесь мы уже берем его доступы из таблицы с токенами
-                $user = User::where('login', UserContext::getUserLogin())->first();
-                UserContext::setUserId($user->id);
-                UserContext::setUserAppPermissions($user->tokens()->latest()->first()->abilities['permissions']);
-                #Гаврилов
-                return $next($request);
-            } else {
-                //Получаем адрес предыдущей страницы, на которую хотел попасть пользователь, чтобы направить его после успешной аутентификации на этот адрес
-                $prevPageUrl = explode('/', $_SERVER['REDIRECT_URL']);
-                //Удаляем из URL редиректа пустые сегменты и сегмент с названием приложения (оно подставляется при редиректе само) 
-                unset($prevPageUrl[0], $prevPageUrl[1]);
-                //Кладем в сессию адрес страницы. только если это не страница выхода, иначе после аутентификации пользователя сразу выбросит
-                session()->put('_auth_prev_page', implode('/', $prevPageUrl) == 'logout' ? '/menu' : implode('/', $prevPageUrl));
-                return redirect('/login');
-                //редирект на страницу login с сообщением об ошибке
-            }
-        } else {
-            return redirect('/login');
-            //redirect на страницу login после которой точно сессия застартует, так как это webроут, а не api
-        }
-        // return $next($request);
-    }
-}

app/Http/Middleware/AuthenticateMagicApi.php

@@ -1,61 +0,0 @@
-<?php
-
-/**
- * Кастомный посредник для обработки неудачной аутентификации Sanctum при обращении к api ендпоинтам. Стандартный посредник аутентификации пытается редиректить на роут login, чего быть не должно при работе с api
- * @author dgavrilov
- */
-
-namespace app\Http\Middleware;
-
-use Closure;
-use Illuminate\Auth\Middleware\Authenticate as BaseAuthenticate;
-use Illuminate\Auth\AuthenticationException;
-use App\Facades\UserContext;
-
-class AuthenticateMagicApi extends BaseAuthenticate
-{
-  public function handle($request, Closure $next, ...$guards)
-  {
-    // if ($request->is('api/silent_token_refresh')) {
-    //   return $next($request);
-    // }
-    //Если пользователь в рамках сессии обращается к api ендпоинтам из приложения, он не всегда может установить заголовок с sanctum токеном (например, переходя по ссылкке <a href='.../api/delItem/id'>). В этом случае, проверяем куки и устанавливаем заголовок оттуда, так как при аутентификации пользовательский логин кладется в куки. Это позволяет нам не устанвливать заголовк в каждом fetch запросе на фронте
-    if ($request->is('api/*') && ($token = $request->cookie('sanctum_token'))) {
-      $request->headers->set("Authorization", "Bearer $token");
-    }
-    //Переопределяем поведение в случае возникновения ошибки при стандартной аутентификации. Стандартное поведение перебрасывает на страницу login, мы же возвращаем 401 ошибку, так как понимаем, что пользователь обратился по api
-    //DGAVRILOV. ПОВЕДЕНИЕ, ОПИСАННОЕ ВЫШЕ, ПРИВОДИТ К ОШИБКЕ. ЕСЛИ ПОЛЬЗОВАТЕЛЬ ОТПРАВИЛ API ЗАПРОС С ФРОНТА И ЕГО СЕССИЯ ПРОТУХЛА, ВОЗВРАЩАЕТСЯ 401 ОШИБКА ВО ВКЛАДКЕ NETWORK, НО ПОЛЬЗОВАТЕЛЯ НЕ ПЕРЕБРАСЫВАЕТ НА СТРАНИЦУ /LOGIN. ЕСЛИ ПОПРАВИТЬ ПОСРЕДНИК WEB АУТЕНТИФИКАЦИИ, ТО ЭТОЙ ПРОБЛЕМЫ НЕ БУДЕТ? БУДЕТ ПЕРЕБРАСЫВАТЬ НА СТРАНИЦУ LOGIN СО СТРАНИЦЫ, ОТКУДА СОВЕРЩАЛСЯ ВЫЗО API ЕНДПОИНТА? СКОРЕЕ ВСЕГО НЕТ, НУЖНО БУДЕТ ПРИ ВЫЗОВЕ API КАК-ТО ПЕРЕХВАТЫВАТЬ 401 ОШИБКУ И ОТПРАВЛЯТЬ НА СТРАНИЦУ /LOGIN
-    try {
-      //Стандартная аутентификация по санктум токену (проверяется срок жизни)
-      $this->authenticate($request, $guards);
-      //$token = $request->user()->currentAccessToken();
-      //Если токен истекает менее через 60 минут, продлеваем его на 2 часа. Ситуации, что сессия протухла, а токен продолжает жить не может случиться, так как апи запросы с фронта отправляют куку аутентификации, которая проверяется при $this->authenticate. Если она протухла, возвратится 401 ошибку.
-      // if ($token->expires_at->diffInMinutes(now()) < 60) {
-      //   $token->update(
-      //     [
-      //       'expires_at' => now()->addHours(2)
-      //     ]
-      //   );
-      // }
-      //После успешной аутентификации Sanctum обогащаем UserService параметрами пользователя (логин, роли приложения)
-      #Гаврилов
-      //ПОКА НЕ ДОБАВЛЯЮ ГРУППЫ AD B EMAILS, ТАК КАК В WEB КОНТУРЕ ОНИ ОПРЕДЕЛЯЮТСЯ ПРИ AD АУТЕНТИФИКАЦИИ И ПОЛУЧЕННЫЕ ЗНАЧЕНИЯ СКЛАДЫВАЮТСЯ В SESSION. В API КОНТУРЕ ДОСТУПА К СЕССИИ НЕТ - ПРОВОДИТЬ AD АУТЕНТИФИКАЦИЮ НЕ ПОЛУЧИТС БЕЗ ПАРОЛЯ ПОЛЬЗОВАТЕЛЯ, КОТОРЫЙ НИГДЕ НЕ ХРАНИТСЯ. ПОЭТОМУ, ЕСЛИ ПОНАДОБИТСЯ ДОСТАВАТЬ В API КОНТУРЕ ГРУППЫ ПОЛЬЗОВАТЕЛЯ, ПРИ AD АУТЕНТИФИКАЦИИ ПОНАДОБИТСЯ КЛАСТЬ AD ГРУППЫ ПОЛЬЗОВАТЕЛЯ И ЕГО EMAILS В ПОЛЕ ABILITIES ТАБЛИЦЫ PERSONAL ACCESS TOKENS ПО АНАЛОГИИ С PERISSIONS  
-      #Гаврилов
-      //НУЖНО ЛИ ОБОГАЩАТЬ USERcoNTEXT НИЖЕ, ЕСЛИ ПРИ WEB АУТЕНТИФИКАЦИИ КОНТЕКСТ УЖЕ ДОЛЖЕН БЫЛ БЫТЬ ОБОГАЩЕН. вЕРОЯТНО, ЭТО НУЖНО ДЛЯ ОБРАБОТКИ ЧИСТО API ЗАПРОСОВ (БЕЗ ВХОДА В СИСТЕМУ), НО НАДО ПРОВЕРИТЬ
-      UserContext::setUserLogin($request->user()->login);
-      UserContext::setUserAppPermissions($request->user()->currentAccessToken()->abilities['permissions']);
-    } catch (AuthenticationException $auth) {
-      if ($request->is('api/*')) {
-        return response()->json([
-          #Гаврилов
-          //СКОРРЕКТИРУЙ ИНФОРМАЦИЮ О ВОЗВРАЩАЕМОЙ ОШИБКЕ?
-          'error' => 'Unauthenticated',
-          'message' => 'Invalid or missing authentication token'
-        ], 401);
-      }
-      
-      throw $auth;
-    }
-    return $next($request);
-  }
-}

app/Providers/AuthorizationServiceProvider.php

@@ -1,30 +0,0 @@
-<?php
-
-namespace App\Providers;
-
-use Illuminate\Support\ServiceProvider;
-use App\Services\AuthorizationService;
-
-/**
- * Провайдер для регистрации сервиса авторизации
- */
-class AuthorizationServiceProvider extends ServiceProvider
-{
-    /**
-     * Register services.
-     */
-    public function register(): void
-    {
-        $this->app->bind(AuthorizationService::class, function($app) {
-            return new AuthorizationService();
-        });
-    }
-
-    /**
-     * Bootstrap services.
-     */
-    public function boot(): void
-    {
-        //
-    }
-}

app/Providers/UserServiceProvider.php

@@ -1,30 +0,0 @@
-<?php
-
-namespace App\Providers;
-
-use Illuminate\Support\ServiceProvider;
-use App\Services\UserService;
-
-/**
- * Провайдер для регистрации сервиса работы с данными юзера (установка логина, групп, подмена значений в случае работы на тестовой среде)
- */
-class UserServiceProvider extends ServiceProvider
-{
-    /**
-     * Register services.
-     */
-    public function register(): void
-    {
-        $this->app->singleton(UserService::class, function($app){
-            return new UserService;
-        });
-    }
-
-    /**
-     * Bootstrap services.
-     */
-    public function boot(): void
-    {
-        //
-    }
-}

app/Services/AuthorizationService.php

@@ -1,86 +0,0 @@
-<?php
-
-namespace App\Services;
-
-use App\Models\MagicApps;
-use App\Facades\UserContext;
-
-class AuthorizationService
-{
-  private $appWithRoles;
-
-
-  /**
-   * Получаем приложения вместе с ролями
-   *
-   * @return array
-   */
-  public function getUserAppPermissions(): array
-  {
-    $this->appWithRoles = MagicApps::with('appRoles')->get()->toArray();
-    //Итоговый массив с доступами пользователя к приложению и ролью
-    $userAppAccess = [];
-    foreach ($this->appWithRoles as $appData) {
-      //Определяем по какому массиву проверять доступ к приложению - почтовые рассылки или группы AD
-      if (empty($appData['access_groups_email'])) {
-        $appAccess = explode(';', $appData['access_groups_ad']);
-        $userAccessGroups = UserContext::getUserADGroups();
-      } else {
-        $appAccess = explode(';', $appData['access_groups_email']);
-        $userAccessGroups = UserContext::getUserEmails();
-      }
-      //Если пересечения групп доступа приложения и групп доступа пользователя отсутствуют, считаем, что доступа нет
-      if (empty(array_intersect($appAccess, $userAccessGroups))) {
-        continue;
-      }
-      //Если ролевая модель отсутствует для приложения как таковая, прописывам значение null
-      if (empty($appData['app_roles'])) {
-        $userAppAccess[$appData['app_name']] = null;
-      } else {
-        //Если ролевая модель существует, ставим значение false, которое будет заменено ролью пользователя. Сохранение false на выходе, в свою очередь, сигнализирует, что роль пользователя не определилась
-        $userAppAccess[$appData['app_name']] = false;
-        foreach ($appData['app_roles'] as $roleData) {
-          if($this->checkRoleAccess($appData['role_driver'], explode(';', $roleData['role_access']))) {
-            $userAppAccess[$appData['app_name']] = $roleData['app_role'];
-            //Все роли идут по приоритету важности, поэтому останавливаемся на самой важной и возвращаем ее, остальные роли не перебираем. Я пока не уверен как лучше организовать отображение функционала ролей в приложениях: весь нужный функционал "класть" в одну роль и отображать строго тот функционал, который относится к роли. Или распределять функционал между ролями и, если пользователь входит в несколько ролей, отображать весь функционал всех ролей, куда он может входить. В случае последнего варианта, нужно будет хранить все доступные роли пользователя, а не только самую важную по приортету. 
-            //Также пока непонятно, реализовывать ли возможность переключаться между ролями на продакшн среде. Если реализовывать, так же придется хранить все роли, куда входит пользователь. Но в этом случае есть риски запутаться в логировании, например, если пользователь под ролью админ переключится на пользователя юзер и совершит от него действие 
-            break;
-          }
-        }
-      }
-    }  
-    return $userAppAccess;
-  }
-
-
-  /**
-   * Возвращаем результат проверки доступности роли
-   *
-   * @param string $roleAccessDriver название драйвера доступа роли
-   * @param array $roleData массив с перечисленными рассылками/логинами/группами, которым доступна роль
-   * @return bool
-   */
-  public function checkRoleAccess(string $roleAccessDriver, array $roleData): bool
-  {
-    switch ($roleAccessDriver) {
-      case 'login':
-        return in_array(UserContext::getUserLogin(), $roleData);
-        break;
-      case 'email':
-        return !empty(array_intersect(UserContext::getUserEmails(), $roleData));
-        break;
-      case 'ADgroup':
-        return !empty(array_intersect(UserContext::getUserADGroups(), $roleData));
-        break;
-    }
-  }
-
-  //УДАЛИТЬ
-  // public function getUserAppRoles(array $userGroups)
-  // {
-  //   $userEmails = session()->get('_auth_groups');
-  //   $userLogin = session()->get('_auth_login');
-  //   $magicApps = $this->getAppRoles();
-  // }
-
-}

app/Services/UserService.php

@@ -1,198 +0,0 @@
-<?php
-
-namespace App\Services;
-
-use Exception;
-
-/**
- * Сервис работы с данными юзера (установка/получение логина, групп, подмена значений в случае работы на тестовой среде)
- */
-class UserService
-{
-  /**
-   * @var string пользовательский логин
-   */
-  public string $userLogin;
-  /**
-   * @var array пользовательские группы AD
-   */
-  public array $userADGroups;
-  /**
-   * @var array почтовые рассылки куда входит пользователь
-   */
-  public array $userEmails;
-  /**
-   * @var boolean является ли пользователь админом приложения Magic
-   */
-  public bool $isAdmin;
-  /**
-   * @var array доступы пользователя к приложениям
-   */
-  public array $userAppPermissions;
-  /**
-   * @var int идентификатор пользователя из таблицы users
-   */
-  public int $userId;
-
-  /**
-   * Установка пользовательского логина
-   *
-   * @param string $login логин для подмены превоначального значения, взятого из сессии 
-   * @return void
-   */
-  public function setUserLogin(string $login): void
-  {
-    $this->userLogin = $login;
-  }
-
-
-  /**
-   * Установка пользовательского логина
-   *
-   * @param array $appRoles доступы пользователя к приложениям Magic 
-   * @return void
-   */
-  public function setUserAppPermissions(array $appRoles): void
-  {
-    $this->userAppPermissions = $appRoles;
-  }
-
-
-  /**
-   * Установка пользовательского идентификатора из таблицы users
-   *
-   * @param int $userId идентификатор пользователя 
-   * @return void
-   */
-  public function setUserId(int $userId): void
-  {
-    $this->userId = $userId;
-  }
-
-
-  /**
-   * Установка групп AD пользователя
-   *
-   * @param array $userGroups все группы из AD где состоит пользователь (emails, AD и т.д.) 
-   * @return void
-   */
-  public function setUserADGroups(array $userGroups): void
-  {
-    $this->userADGroups = array_filter($userGroups, function($el){return substr($el, 0, 1) !== '#';});
-  }
-
-
-  /**
-   * Установка почтовых рассылок куда входит пользователь
-   *
-   * @param array $userGroups все групы пользователя AD, в которых он состоит (почтовые ящики, AD и т.д.) 
-   * @return void
-   */
-  public function setUserEmails(array $userGroups): void
-  {
-    $this->userEmails = array_filter($userGroups, function($el){return substr($el, 0, 1) === '#';});
-  }
-
-
-  /**
-   * Устанавливаем флаг является ли пользователь админом приложения Magic
-   *
-   * @param boolean $flag
-   * @return void
-   */
-  public function setIsAdminFlag(bool $flag): void
-  {
-    $this->isAdmin = $flag;
-  }
-
-
-  /**
-   * Добавление группы AD в массив групп пользователя
-   *
-   * @param string $group группа для добавления в массив установленных при аутентификации групп AD пользователя 
-   * @return void
-   */
-  public function addUserADGroup(string $group): void
-  {
-    $this->userADGroups[] = $group;
-  }
-
-
-  /**
-   * Добавление email в массив емейлов пользователя
-   *
-   * @param string $email почтовая рассылка для добавления в массив установленных при аутентификации почтовых ящиков пользователя 
-   * @return void
-   */
-  public function addUserEmail(string $email): void
-  {
-    $this->userEmails[] = $email;
-  }
-
-
-  /**
-   * Возвращаем доступы пользователя к приложениям Magic
-   *
-   * @return array
-   */
-  public function getUserAppPermissions(): array
-  {
-    return $this->userAppPermissions;
-  }
-
-
-  /**
-   * Получаем пользовательский логин
-   *
-   * @return string
-   */
-  public function getUserLogin(): string
-  {
-    return $this->userLogin;
-  }
-
-
-  /**
-   * Получаем пользовательский логин
-   *
-   * @return int
-   */
-  public function getUserId(): int
-  {
-    return $this->userId;
-  }
-
-
-  /**
-   * Получаем пользовательский логин
-   *
-   * @return array
-   */
-  public function getUserADGroups(): array
-  {
-    return $this->userADGroups;
-  }
-
-
-  /**
-   * Получаем email рассылки куда он входит
-   *
-   * @return array
-   */
-  public function getUserEmails(): array
-  {
-    return $this->userEmails;
-  }
-
-
-  /**
-   * Получаем значение флага является ли пользователь админом приложения Magic
-   *
-   * @return boolean
-   */
-  public function getIsAdminFlag(): bool
-  {
-    return $this->isAdmin;
-  }
-  
-}

config/auth.php

@@ -7,15 +7,15 @@ return [
     | Authentication Defaults
     |--------------------------------------------------------------------------
     |
-    | This option controls the default authentication "guard" and password
-    | reset options for your application. You may change these defaults
+    | This option defines the default authentication "guard" and password
+    | reset "broker" for your application. You may change these values
     | as required, but they're a perfect start for most applications.
     |
     */
 
     'defaults' => [
-        'guard' => 'web',
-        'passwords' => 'users',
+        'guard' => env('AUTH_GUARD', 'web'),
+        'passwords' => env('AUTH_PASSWORD_BROKER', 'users'),
     ],
 
     /*
@@ -25,11 +25,11 @@ return [
     |
     | Next, you may define every authentication guard for your application.
     | Of course, a great default configuration has been defined for you
-    | here which uses session storage and the Eloquent user provider.
+    | which utilizes session storage plus the Eloquent user provider.
     |
-    | All authentication drivers have a user provider. This defines how the
+    | All authentication guards have a user provider, which defines how the
     | users are actually retrieved out of your database or other storage
-    | mechanisms used by this application to persist your user's data.
+    | system used by the application. Typically, Eloquent is utilized.
     |
     | Supported: "session"
     |
@@ -38,11 +38,6 @@ return [
     'guards' => [
         'web' => [
             'driver' => 'session',
-            'provider' => 'ldap',
-        ],
-        // guard для аутентификации при запросе ендпоинтов API, а также для нормального логирования информации события обращения к API ендпоинтам 
-        'sanctum' => [ 
-            'driver' => 'sanctum',
             'provider' => 'users',
         ],
     ],
@@ -52,12 +47,12 @@ return [
     | User Providers
     |--------------------------------------------------------------------------
     |
-    | All authentication drivers have a user provider. This defines how the
+    | All authentication guards have a user provider, which defines how the
     | users are actually retrieved out of your database or other storage
-    | mechanisms used by this application to persist your user's data.
+    | system used by the application. Typically, Eloquent is utilized.
     |
     | If you have multiple user tables or models you may configure multiple
-    | sources which represent each model / table. These sources may then
+    | providers to represent the model / table. These providers may then
     | be assigned to any extra authentication guards you have defined.
     |
     | Supported: "database", "eloquent"
@@ -65,15 +60,11 @@ return [
     */
 
     'providers' => [
-        'ldap' => [
-            'driver' => 'ldap',
-            'model' => LdapRecord\Models\ActiveDirectory\User::class,
-        ],
-        //Провайдер для записи в БД минимальных данных пользователя: логина и его id. Нужен для корректной работы Sanctum
         'users' => [
             'driver' => 'eloquent',
-            'model' => App\Models\User::class,
+            'model' => env('AUTH_MODEL', App\Models\User::class),
         ],
+
         // 'users' => [
         //     'driver' => 'database',
         //     'table' => 'users',
@@ -85,9 +76,9 @@ return [
     | Resetting Passwords
     |--------------------------------------------------------------------------
     |
-    | You may specify multiple password reset configurations if you have more
-    | than one user table or model in the application and you want to have
-    | separate password reset settings based on the specific user types.
+    | These configuration options specify the behavior of Laravel's password
+    | reset functionality, including the table utilized for token storage
+    | and the user provider that is invoked to actually retrieve users.
     |
     | The expiry time is the number of minutes that each reset token will be
     | considered valid. This security feature keeps tokens short-lived so
@@ -102,7 +93,7 @@ return [
     'passwords' => [
         'users' => [
             'provider' => 'users',
-            'table' => 'password_reset_tokens',
+            'table' => env('AUTH_PASSWORD_RESET_TOKEN_TABLE', 'password_reset_tokens'),
             'expire' => 60,
             'throttle' => 60,
         ],
@@ -113,12 +104,12 @@ return [
     | Password Confirmation Timeout
     |--------------------------------------------------------------------------
     |
-    | Here you may define the amount of seconds before a password confirmation
-    | times out and the user is prompted to re-enter their password via the
+    | Here you may define the number of seconds before a password confirmation
+    | window expires and users are asked to re-enter their password via the
     | confirmation screen. By default, the timeout lasts for three hours.
     |
     */
 
-    'password_timeout' => 10800,
+    'password_timeout' => env('AUTH_PASSWORD_TIMEOUT', 10800),
 
 ];

config/ldap.php

@@ -1,81 +0,0 @@
-<?php
-
-return [
-
-    /*
-    |--------------------------------------------------------------------------
-    | Default LDAP Connection Name
-    |--------------------------------------------------------------------------
-    |
-    | Here you may specify which of the LDAP connections below you wish
-    | to use as your default connection for all LDAP operations. Of
-    | course you may add as many connections you'd like below.
-    |
-    */
-
-    'default' => env('LDAP_CONNECTION', 'default'),
-
-    /*
-    |--------------------------------------------------------------------------
-    | LDAP Connections
-    |--------------------------------------------------------------------------
-    |
-    | Below you may configure each LDAP connection your application requires
-    | access to. Be sure to include a valid base DN - otherwise you may
-    | not receive any results when performing LDAP search operations.
-    |
-    */
-
-    'connections' => [
-
-        'default' => [
-            'hosts' => [env('LDAP_HOST', '127.0.0.1')],
-            'username' => env('LDAP_USERNAME', 'cn=user,dc=local,dc=com'),
-            'password' => env('LDAP_PASSWORD', 'secret'),
-            'port' => env('LDAP_PORT', 389),
-            'base_dn' => env('LDAP_BASE_DN', 'dc=local,dc=com'),
-            'timeout' => env('LDAP_TIMEOUT', 5),
-            'use_ssl' => env('LDAP_SSL', false),
-            'use_tls' => env('LDAP_TLS', false),
-            'use_sasl' => env('LDAP_SASL', false),
-            'sasl_options' => [
-                // 'mech' => 'GSSAPI',
-            ],
-        ],
-
-    ],
-
-    /*
-    |--------------------------------------------------------------------------
-    | LDAP Logging
-    |--------------------------------------------------------------------------
-    |
-    | When LDAP logging is enabled, all LDAP search and authentication
-    | operations are logged using the default application logging
-    | driver. This can assist in debugging issues and more.
-    |
-    */
-
-    'logging' => [
-        'enabled' => env('LDAP_LOGGING', true),
-        'channel' => env('LOG_CHANNEL', 'stack'),
-        'level' => env('LOG_LEVEL', 'info'),
-    ],
-
-    /*
-    |--------------------------------------------------------------------------
-    | LDAP Cache
-    |--------------------------------------------------------------------------
-    |
-    | LDAP caching enables the ability of caching search results using the
-    | query builder. This is great for running expensive operations that
-    | may take many seconds to complete, such as a pagination request.
-    |
-    */
-
-    'cache' => [
-        'enabled' => env('LDAP_CACHE', false),
-        'driver' => env('CACHE_DRIVER', 'file'),
-    ],
-
-];

config/sanctum.php

@@ -1,85 +0,0 @@
-<?php
-
-use Laravel\Sanctum\Sanctum;
-
-return [
-
-    /*
-    |--------------------------------------------------------------------------
-    | Stateful Domains
-    |--------------------------------------------------------------------------
-    |
-    | Requests from the following domains / hosts will receive stateful API
-    | authentication cookies. Typically, these should include your local
-    | and production domains which access your API via a frontend SPA.
-    |
-    */
-
-    #Гаврилов
-    //ЗДЕСЬ НУЖНО БУДЕТ ПЕРЕЧИСЛИТЬ ДОМЕНЫ (МЭДЖИКА например) ПЕРЕД ВЫНОСОМ В ПРОД
-    'stateful' => explode(',', env('SANCTUM_STATEFUL_DOMAINS', sprintf(
-        '%s%s',
-        'localhost,localhost:3000,127.0.0.1,127.0.0.1:8000,::1',
-        Sanctum::currentApplicationUrlWithPort()
-    ))),
-
-    /*
-    |--------------------------------------------------------------------------
-    | Sanctum Guards
-    |--------------------------------------------------------------------------
-    |
-    | This array contains the authentication guards that will be checked when
-    | Sanctum is trying to authenticate a request. If none of these guards
-    | are able to authenticate the request, Sanctum will use the bearer
-    | token that's present on an incoming request for authentication.
-    |
-    */
-
-    'guard' => ['web'],
-
-    /*
-    |--------------------------------------------------------------------------
-    | Expiration Minutes
-    |--------------------------------------------------------------------------
-    |
-    | This value controls the number of minutes until an issued token will be
-    | considered expired. This will override any values set in the token's
-    | "expires_at" attribute, but first-party sessions are not affected.
-    |
-    */
-
-    'expiration' => null,
-
-    /*
-    |--------------------------------------------------------------------------
-    | Token Prefix
-    |--------------------------------------------------------------------------
-    |
-    | Sanctum can prefix new tokens in order to take advantage of numerous
-    | security scanning initiatives maintained by open source platforms
-    | that notify developers if they commit tokens into repositories.
-    |
-    | See: https://docs.github.com/en/code-security/secret-scanning/about-secret-scanning
-    |
-    */
-
-    'token_prefix' => env('SANCTUM_TOKEN_PREFIX', ''),
-
-    /*
-    |--------------------------------------------------------------------------
-    | Sanctum Middleware
-    |--------------------------------------------------------------------------
-    |
-    | When authenticating your first-party SPA with Sanctum you may need to
-    | customize some of the middleware Sanctum uses while processing the
-    | request. You may change the middleware listed below as required.
-    |
-    */
-
-    'middleware' => [
-        'authenticate_session' => Laravel\Sanctum\Http\Middleware\AuthenticateSession::class,
-        'encrypt_cookies' => App\Http\Middleware\EncryptCookies::class,
-        'verify_csrf_token' => App\Http\Middleware\VerifyCsrfToken::class,
-    ],
-
-];

resources/js/api.js

@@ -0,0 +1,81 @@
+import axios from 'axios';
+
+/**
+ * @author dgavrilov
+ * Пока в этом скрипте реализован axios иaнтерцептор для api запросов, отправляемых с фронта. Своего рода посредник для совершения "пред" и "пост" действий/проверок во время отправки api запроса 
+ */
+
+//ГАВРИЛОВ
+//переименуй файл на axios
+
+//Инстанс api контура
+const api = axios.create({
+  baseURL: '/public/api/',
+  withCredentials: true,
+  headers: {
+    'content-type': 'application/json',
+    'Accept': 'application/json',
+  }
+})
+
+//Инстанс web контура
+const web = axios.create({
+  baseURL: '/public/',
+  withCredentials: true,
+  headers: {
+    'content-type': 'application/json',
+    'Accept': 'application/json',
+  }
+})
+
+//Гаврилов. 
+//Перехват запросов. Добавить подстановку bearer token? 
+// api.interceptors.request.use();
+
+let isRefreshing = false, //Флаг выполнения запроса на обновления токена. Пока он иеет значение true, остальные запросы, попадающие в очередь из за полученной 401 ошибки кладутся в массив queueRqsts
+  queueRqsts = []; //запросы, которые получили 401 ошибку, одновремменно кладутся в эту переменную в виде промимсов, чтобы быть вызванными позднее, когда будет результат обновления токена превого запроса
+//Если api ответ возвращает 401 ошибку, отправляем web запрос на роут фонового обновления санктум токена, где происходит проверка сессии, срока жизни санктум токена и его обновление, при удовлетворяющих условиях
+
+//Перехват ответов api
+api.interceptors.response.use(
+  response => response,
+  async error => {
+    const originalRequest = error.config; //Параметры вызываемого запроса
+    // originalRequest._retry = true;
+    if (error.response?.status === 401) {
+      if (isRefreshing) {
+        return new Promise((resolve, reject) => {
+          queueRqsts.push({
+            resolve: () => resolve(api(originalRequest)),
+            reject
+          })
+        })
+      } else {
+        isRefreshing = true;
+        try {
+          let resultRefresh;
+          //ГАВРИЛОВ. запись данных формы в session storage при неудачном silent regresh token. Чтобы после перезагрузки страницы подтянуть данные из session storage в форму? тогда придется заморачиваться с компонентом подтягивания данных из session storage при рендеринге страницы
+          resultRefresh = await web.get('silent_token_refresh')
+          if (!resultRefresh.data.original.data.token_refresh) {
+            throw new Error('Сессия истекла');
+          }
+          queueRqsts.forEach(pending => {
+            pending.resolve();
+          })
+          return api(originalRequest);
+        } catch (error) {
+          queueRqsts.forEach(pending => pending.reject(error))
+          isRefreshing = false;
+          queueRqsts = [];
+          window.location.href = '/public/login';
+        } finally {
+          isRefreshing = false;
+          queueRqsts = [];
+        }
+      }
+    }
+    return true;
+  }
+)
+
+export default api;

routes/web.php

@@ -1,7 +1,13 @@
 <?php
 
 use Illuminate\Support\Facades\Route;
+use \App\Http\Controllers;
+use App\Http\Middleware\AuthenticateMagic;
 
 Route::get('/', function () {
     return view('welcome');
 });
+
+//ГАВРИЛОВ. добавить without middleware AuthMagicApi?
+//Фоновое обновление санктум токена, если api вернул 401 (санктум протух), а сессия еще "жива"
+Route::get('/silent_token_refresh', [Controllers\LoginController::class, 'silentRefreshUserSanctumToken'])->withoutMiddleware([AuthenticateMagic::class]);