Eduard Wisch
219d489951
ACHTUNG, Schnitt: Geraete mit einer App-Fassung, die noch ein modul-eigenes netdiag-JWT benutzt, koennen sich nicht mehr anmelden. Eddy hat den APK-Rollout am 17.08.2026 als abgeschlossen bestaetigt. Mehr als Aufraeumen: Der alte Pfad pruefte die Signatur eines selbst ausgestellten Tokens und holte damit einen Benutzer aus der Datenbank - an der Sitzungsliste von awlauth vorbei. "Geraet abmelden" hatte darauf keine Wirkung; ein verlorenes Handy blieb bis zum Ablauf der TTL angemeldet. Jetzt gibt es genau eine Stelle, an der Sitzungen entstehen und enden. Entfernt: der Rueckfallweg in auth.php (ohne aktives AWL-Auth jetzt 503 statt zweitem Weg), netdiag_jwt_encode/decode/secret samt Base64-URL-Helfern, die Konstanten NETDIAG_API_JWT_SECRET und NETDIAG_API_TOKEN_TTL aus dem Descriptor, das TTL-Feld aus dem Setup. Bestehende llx_const-Werte bleiben stehen - ein Loeschlauf beim Modul-Update waere das groessere Risiko. Die Gueltigkeit kommt jetzt allein aus AWLAUTH_TTL (awlauth-Setup, Standard 7 Tage). Genau darauf hat Eddy hingewiesen: das ist im Auth-Modul geregelt. Sprachdateien de_DE und en_US nachgezogen, beide wieder deckungsgleich. Geprueft gegen die Testinstanz: falsches Passwort -> sauberer awlauth-Fehler, ungueltiges Token -> 401, kein Token -> 401. Kein PHP-Fehler durch die entfernten Funktionen. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
116 lines
4.1 KiB
PHP
116 lines
4.1 KiB
PHP
<?php
|
|
/* Copyright (C) 2026 Eduard Wisch <data@data-it-solution.de>
|
|
*
|
|
* This program is free software; you can redistribute it and/or modify
|
|
* it under the terms of the GNU General Public License as published by
|
|
* the Free Software Foundation; either version 3 of the License, or
|
|
* (at your option) any later version.
|
|
*
|
|
* This program is distributed in the hope that it will be useful,
|
|
* but WITHOUT ANY WARRANTY; without even the implied warranty of
|
|
* MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
|
|
* GNU General Public License for more details.
|
|
*
|
|
* You should have received a copy of the GNU General Public License
|
|
* along with this program. If not, see <https://www.gnu.org/licenses/>.
|
|
*/
|
|
|
|
/**
|
|
* \file netdiag/api/auth.php
|
|
* \ingroup netdiag
|
|
* \brief API-Endpunkt: Anmeldung der mobilen App, liefert ein Token.
|
|
*
|
|
* POST {login, password} -> {token, expiresIn, user}
|
|
*
|
|
* Das Token stellt seit v1.4.0 das zentrale Auth-Modul awlauth aus (gleicher
|
|
* Schlüssel und gleiche Sitzungs-Registry wie alle anderen AWL-Apps, damit ein
|
|
* verlorenes Handy an EINER Stelle abgemeldet werden kann). Da die App im
|
|
* Capacitor-WebView auf einem eigenen Origin läuft, kann sie das SSO-Cookie
|
|
* nicht nutzen — sie bekommt denselben Token im Antwort-Body und schickt ihn
|
|
* als "Authorization: Bearer ..." zurück.
|
|
*
|
|
* Die ANTWORTFORM ist bewusst unverändert geblieben: bereits installierte
|
|
* APKs lesen {token, expiresIn, user} und laufen nach einer einmaligen
|
|
* Neuanmeldung ohne Update weiter.
|
|
*/
|
|
|
|
require_once __DIR__.'/netdiag_api.lib.php';
|
|
|
|
netdiag_api_bootstrap();
|
|
|
|
/** @var DoliDB $db */
|
|
|
|
if ($_SERVER['REQUEST_METHOD'] !== 'POST') {
|
|
netdiag_api_error('Nur POST erlaubt', 405);
|
|
}
|
|
|
|
$body = netdiag_api_read_body();
|
|
$login = isset($body['login']) ? trim((string) $body['login']) : '';
|
|
$password = isset($body['password']) ? (string) $body['password'] : '';
|
|
|
|
if ($login === '' || $password === '') {
|
|
netdiag_api_error('Login und Passwort erforderlich', 400);
|
|
}
|
|
|
|
require_once DOL_DOCUMENT_ROOT.'/core/lib/security2.lib.php';
|
|
require_once DOL_DOCUMENT_ROOT.'/user/class/user.class.php';
|
|
|
|
/*
|
|
* Anmeldung ausschließlich über awlauth — Rate-Limit, Passwortprüfung,
|
|
* SSO-Eignung und die zentrale Sitzungsliste kommen von dort, wie in allen
|
|
* anderen AWL-Apps.
|
|
*
|
|
* Der frühere Rückfallweg mit modul-eigenem JWT ist am 17.08.2026 entfallen
|
|
* (APK-Rollout abgeschlossen). Er stellte Tokens aus, die an der
|
|
* awlauth-Geräteliste vorbeiliefen: „Gerät abmelden" hatte darauf keine
|
|
* Wirkung. Lieber ein klarer Fehler als eine zweite, unsichtbare Sitzungsart.
|
|
*
|
|
* Die Gültigkeit bestimmt jetzt allein `AWLAUTH_TTL` (awlauth-Setup,
|
|
* Standard 7 Tage) — es gibt keine konkurrierende Einstellung mehr im
|
|
* NetDiag-Setup.
|
|
*/
|
|
if (!netdiag_awlauth_available()) {
|
|
netdiag_api_error('Anmeldung nicht möglich: das Modul AWL-Auth ist nicht aktiv', 503);
|
|
}
|
|
|
|
{
|
|
$res = awlauth_login($login, $password);
|
|
if (empty($res['success'])) {
|
|
netdiag_api_error($res['error'], (int) $res['http']);
|
|
}
|
|
$user = $res['user'];
|
|
|
|
if (!$user->hasRight('netdiag', 'protocol', 'read')) {
|
|
netdiag_api_error('Keine Berechtigung für NetDiag', 403);
|
|
}
|
|
|
|
// Gerätebezeichnung für die awlauth-Geräteliste. Ein WebView meldet sich
|
|
// als Chrome — ohne eigenen Namen wäre die App dort nicht wiederzuerkennen.
|
|
$ua = isset($_SERVER['HTTP_USER_AGENT']) ? (string) $_SERVER['HTTP_USER_AGENT'] : '';
|
|
$label = 'NetDiag-App';
|
|
if ($ua !== '' && function_exists('awlauth_device_label')) {
|
|
$parts = explode(' · ', awlauth_device_label($ua));
|
|
if (!empty($parts[0])) {
|
|
$label .= ' · '.$parts[0];
|
|
}
|
|
}
|
|
|
|
$issued = awlauth_issue_bearer($user, 0, 'password', $label);
|
|
if ($issued === null) {
|
|
netdiag_api_error('Anmeldung konnte nicht abgeschlossen werden', 500);
|
|
}
|
|
$token = $issued['token'];
|
|
$ttl = (int) $issued['expiresIn'];
|
|
}
|
|
|
|
netdiag_api_respond(array(
|
|
'token' => $token,
|
|
'expiresIn' => $ttl,
|
|
'user' => array(
|
|
'id' => (int) $user->id,
|
|
'login' => $user->login,
|
|
'name' => $user->getFullName($langs),
|
|
'email' => $user->email,
|
|
'canWrite' => (bool) $user->hasRight('netdiag', 'protocol', 'write'),
|
|
),
|
|
));
|