parent
26557be67a
commit
af75811436
@ -0,0 +1,23 @@ |
||||
import { AuthConfig } from 'angular-oauth2-oidc'; |
||||
import { environment } from '@env'; |
||||
|
||||
/** |
||||
* Configuration du serveur Keycloak. |
||||
*/ |
||||
export const authConfig: AuthConfig = { |
||||
issuer: environment.keycloakConfig.issuer, |
||||
clientId: environment.keycloakConfig.clientId,
|
||||
dummyClientSecret: environment.keycloakConfig.dummyClientSecret, |
||||
responseType: environment.keycloakConfig.responseType, |
||||
redirectUri: environment.keycloakConfig.redirectUri, |
||||
silentRefreshRedirectUri: environment.keycloakConfig.silentRefreshRedirectUri, |
||||
scope: environment.keycloakConfig.scope,
|
||||
useSilentRefresh: environment.keycloakConfig.useSilentRefresh,
|
||||
silentRefreshTimeout: environment.keycloakConfig.silentRefreshTimeout, |
||||
timeoutFactor: environment.keycloakConfig.timeoutFactor, |
||||
sessionChecksEnabled: environment.keycloakConfig.sessionChecksEnabled, |
||||
showDebugInformation: environment.keycloakConfig.showDebugInformation, |
||||
clearHashAfterLogin: environment.keycloakConfig.clearHashAfterLogin,
|
||||
nonceStateSeparator : environment.keycloakConfig.nonceStateSeparator
|
||||
}; |
||||
|
||||
@ -0,0 +1,11 @@ |
||||
import { OAuthModuleConfig } from 'angular-oauth2-oidc'; |
||||
|
||||
/** |
||||
* Liste des urls qui sont autorisées à recevoir l'acces_token. |
||||
*/ |
||||
export const authModuleConfig: OAuthModuleConfig = { |
||||
resourceServer: { |
||||
allowedUrls: ['https://localhost:44393/api'], |
||||
sendAccessToken: true, |
||||
} |
||||
}; |
||||
@ -0,0 +1,28 @@ |
||||
import { Injectable } from '@angular/core'; |
||||
import { ActivatedRouteSnapshot, CanActivate, RouterStateSnapshot } from '@angular/router'; |
||||
import { Observable } from 'rxjs'; |
||||
import { tap } from 'rxjs/operators'; |
||||
|
||||
import { AuthService } from './auth.service'; |
||||
|
||||
/** |
||||
* Guard permettant de gérer les autorisations au niveau des routes. |
||||
*/ |
||||
@Injectable() |
||||
export class AuthGuard implements CanActivate { |
||||
constructor(private authService: AuthService) { } |
||||
|
||||
canActivate(route: ActivatedRouteSnapshot, state: RouterStateSnapshot): Observable<boolean> { |
||||
return this.authService.canActivateProtectedRoutes$.pipe(tap(isLoggin => this.login(isLoggin))); |
||||
} |
||||
|
||||
/** |
||||
* Affiche la page de connexion si l'utilisateur n'est pas connecté. |
||||
* @param isLoggin Booléen permettant de savoir si l'utilisateur est connecté ou non |
||||
*/ |
||||
private login(isLoggin: boolean) { |
||||
if (!isLoggin) { |
||||
this.authService.login(); |
||||
} |
||||
} |
||||
} |
||||
@ -0,0 +1,61 @@ |
||||
import { HttpClientModule } from '@angular/common/http'; |
||||
import { ModuleWithProviders, NgModule, Optional, SkipSelf, APP_INITIALIZER } from '@angular/core'; |
||||
import { AuthConfig, OAuthModule, OAuthModuleConfig, OAuthStorage } from 'angular-oauth2-oidc'; |
||||
import { authConfig } from './auth-config'; |
||||
import { AuthGuard } from './auth.guard'; |
||||
import { authModuleConfig } from './auth-module-config'; |
||||
import { AuthService } from './auth.service'; |
||||
|
||||
/** |
||||
* Nous avons besoin d'une usine de stockage car le localStorage
|
||||
* n'est pas disponible au moment de la compilation de l'AOT. (Ahead-of-time) |
||||
*/ |
||||
export function storageFactory(): OAuthStorage { |
||||
return localStorage; |
||||
} |
||||
|
||||
/** |
||||
* Exécute la méthode qui permet d'afficher la page de connexion. |
||||
* @param authService Service d'authentification |
||||
*/ |
||||
export function init_app(authService: AuthService) { |
||||
return () => authService.runInitialLoginSequence(); |
||||
} |
||||
|
||||
/** |
||||
* Module d'authentification. |
||||
*/ |
||||
@NgModule({ |
||||
imports: [ |
||||
HttpClientModule, |
||||
OAuthModule.forRoot(), |
||||
], |
||||
providers: [ |
||||
AuthService, |
||||
AuthGuard, |
||||
], |
||||
}) |
||||
export class AuthModule { |
||||
static forRoot(): ModuleWithProviders<AuthModule> { |
||||
return { |
||||
ngModule: AuthModule, |
||||
providers: [ |
||||
{ provide: AuthConfig, useValue: authConfig }, |
||||
{ provide: OAuthModuleConfig, useValue: authModuleConfig }, |
||||
{ provide: OAuthStorage, useFactory: storageFactory }, |
||||
{ |
||||
provide: APP_INITIALIZER, |
||||
useFactory: init_app, // Affiche la page de connexion au démarrage de l'application
|
||||
deps: [ AuthService ], |
||||
multi: true |
||||
} |
||||
] |
||||
}; |
||||
} |
||||
|
||||
constructor (@Optional() @SkipSelf() parentModule: AuthModule) { |
||||
if (parentModule) { |
||||
throw new Error("AuthModule est déjà chargé. Importez-le dans uniquement l'AppModule."); |
||||
} |
||||
} |
||||
} |
||||
@ -0,0 +1,6 @@ |
||||
|
||||
describe('AuthService', () => { |
||||
it('should pass', () => { |
||||
expect(true).toBeTruthy(); |
||||
}); |
||||
}); |
||||
@ -0,0 +1,263 @@ |
||||
import { Injectable } from '@angular/core'; |
||||
import { Router } from '@angular/router'; |
||||
import { OAuthErrorEvent, OAuthService } from 'angular-oauth2-oidc'; |
||||
import { BehaviorSubject, combineLatest, Observable, ReplaySubject } from 'rxjs'; |
||||
import { filter, map } from 'rxjs/operators'; |
||||
|
||||
@Injectable({ providedIn: 'root' }) |
||||
export class AuthService { |
||||
|
||||
private isAuthenticatedSubject$ = new BehaviorSubject<boolean>(false); |
||||
private isDoneLoadingSubject$ = new ReplaySubject<boolean>(); |
||||
|
||||
/** |
||||
* Observable permettant de savoir si l'utilisateur est authentifié. |
||||
*/ |
||||
public isAuthenticated$ = this.isAuthenticatedSubject$.asObservable(); |
||||
|
||||
/** |
||||
* Observable permettant de savoir si le chargement de la connexion initiale est terminé. |
||||
*/ |
||||
public isDoneLoading$ = this.isDoneLoadingSubject$.asObservable(); |
||||
|
||||
/** |
||||
* Retourne "true" si et seulement si tous les appels asynchrones de la connexion initiale
|
||||
* sont terminés (ou comportent une erreur), et si l'utilisateur |
||||
* a fini par être authentifié. |
||||
* |
||||
* En résumé, il combine: |
||||
* |
||||
* - Le dernier état connu indiquant si l'utilisateur est autorisé |
||||
* - Si les appels ajax pour la connexion initiale ont tous été effectués |
||||
*/ |
||||
public canActivateProtectedRoutes$: Observable<boolean> = combineLatest([ |
||||
this.isAuthenticated$, this.isDoneLoading$ ]).pipe(map(values => values.every(b => b))); |
||||
|
||||
/** |
||||
* Navigue vers la page de connexion. |
||||
*/ |
||||
private navigateToLoginPage() { |
||||
// Pour naviguer vers un composant
|
||||
//this.router.navigateByUrl('/should-login');
|
||||
|
||||
// Pour naviguer vers la page de connexion du server Keycloak
|
||||
this.login(); |
||||
} |
||||
|
||||
/** |
||||
* Constructeur du service d'authentification. |
||||
* @param oauthService Service d'authentification de la librairie angular-oauth2-oidc |
||||
* @param router Service permettant de naviguer et de manipuler les urls |
||||
*/ |
||||
constructor(private oauthService: OAuthService, private router: Router) { |
||||
|
||||
/* |
||||
// Utile pour le débogage:
|
||||
this.oauthService.events.subscribe(event => { |
||||
if (event instanceof OAuthErrorEvent) { |
||||
console.error('OAuthErrorEvent Object:', event); |
||||
} else { |
||||
console.warn('OAuthEvent Object:', event); |
||||
} |
||||
}); |
||||
*/ |
||||
|
||||
// Ajout un évènement afin de gérer l'acces_token dans le cas où l'application est ouverte dans deux onglets différents.
|
||||
// TODO: Pour améliorer cette configuration. Voir: https://github.com/jeroenheijmans/sample-angular-oauth2-oidc-with-auth-guards/issues/2
|
||||
window.addEventListener('storage', (event) => { |
||||
// La propriété "key" à la valeur "null" si l'événement a été causé par la méthode ".clear()".
|
||||
if (event.key !== 'access_token' && event.key !== null) { |
||||
return; |
||||
} |
||||
|
||||
console.warn("Changements remarqués dans l'access_token (très probablement depuis un autre onglet). Mise à jour de l'observable isAuthenticated.") ; |
||||
this.isAuthenticatedSubject$.next(this.oauthService.hasValidAccessToken()); |
||||
|
||||
// Si l'acces_token n'est pas valide, on redirige l'utilisateur vers la page de connexion
|
||||
if (!this.oauthService.hasValidAccessToken()) { |
||||
this.navigateToLoginPage(); |
||||
} |
||||
}); |
||||
|
||||
// Met à jour l'observable lorsque l'access_token est valide
|
||||
this.oauthService.events |
||||
.subscribe(_ => { |
||||
this.isAuthenticatedSubject$.next(this.oauthService.hasValidAccessToken()); |
||||
}); |
||||
|
||||
// Charge le profil de l'utilisateur lorsque le token est reçu
|
||||
this.oauthService.events |
||||
.pipe(filter(e => ['token_received'].includes(e.type))) |
||||
.subscribe(e => this.oauthService.loadUserProfile()); |
||||
|
||||
// Redirige l'utilisateur vers la page de connexion lorsque la session est terminée ou lorsque qu'il y a une erreur
|
||||
this.oauthService.events |
||||
.pipe(filter(e => ['session_terminated', 'session_error'].includes(e.type))) |
||||
.subscribe(e => this.navigateToLoginPage()); |
||||
|
||||
// Mise en place d'un rafraîchissement silencieux lorsque le jeton est sur le point d'expirer
|
||||
this.oauthService.setupAutomaticSilentRefresh(); |
||||
} |
||||
|
||||
/** |
||||
* Lance la séquence de connexion initiale. |
||||
*/ |
||||
public runInitialLoginSequence(): Promise<void> { |
||||
if (location.hash) { |
||||
console.log("Fragment de hachage rencontré, tracé sous forme de tableau...") ; |
||||
console.table(location.hash.substr(1).split('&').map(kvp => kvp.split('='))); |
||||
} |
||||
|
||||
// 0. CONFIGURATION DU CHARGEMENT:
|
||||
// Il faut d'abord vérifier comment le serveur Keycloak est actuellement configuré:
|
||||
return this.oauthService.loadDiscoveryDocument() |
||||
|
||||
// 1. HASH LOGIN:
|
||||
// Essaye de se connecter via le fragment de hachage
|
||||
// après avoir été redirigé depuis le serveur Keycloak depuis initImplicitFlow :
|
||||
.then(() => this.oauthService.tryLogin()) |
||||
|
||||
.then(() => { |
||||
if (this.oauthService.hasValidAccessToken()) { |
||||
return Promise.resolve(); |
||||
} |
||||
|
||||
// 2. SILENT LOGIN:
|
||||
// Effectue un rafraîchissement silencieux pour le flux implicite.
|
||||
// Utilise cette méthode pour obtenir des nouveaux tokens quand/avant que les tokens existants expirent.
|
||||
return this.oauthService.silentRefresh() |
||||
.then(() => Promise.resolve()) |
||||
.catch(result => { |
||||
// Sous-ensemble de situations de https://openid.net/specs/openid-connect-core-1_0.html#AuthError
|
||||
// Seulement celles où il est raisonnablement certain que l'envoi de l'utilisateur au serveur Keycloak est utile.
|
||||
const errorResponsesRequiringUserInteraction = [ |
||||
'interaction_required', |
||||
'login_required', |
||||
'account_selection_required', |
||||
'consent_required', |
||||
]; |
||||
|
||||
if (result |
||||
&& result.reason |
||||
&& errorResponsesRequiringUserInteraction.indexOf(result.reason.error) >= 0) { |
||||
|
||||
// 3. DEMANDE DE CONNEXION:
|
||||
// A ce stade, nous savons avec certitude que nous devons demander à
|
||||
// l'utilisateur de se connecter, nous le redirigeons donc vers la page de connexion.
|
||||
|
||||
// Activez cette option pour TOUJOURS forcer un utilisateur à se connecter.
|
||||
this.login(); |
||||
|
||||
// Afficher un mesage d'avertissement:
|
||||
//console.warn("Une interaction de l'utilisateur est nécessaire pour se connecter, nous allons attendre que l'utilisateur se connecte manuellement.");
|
||||
|
||||
return Promise.resolve(); |
||||
} |
||||
|
||||
return Promise.reject(result); |
||||
}); |
||||
}) |
||||
|
||||
.then(() => { |
||||
// Met à jour l'observable isDoneLoadingSubject
|
||||
this.isDoneLoadingSubject$.next(true); |
||||
|
||||
// Vérifie les valeurs "undefined" et "null" pour être sûr.
|
||||
// Notre login actuel ne devrait jamais avoir cela, mais au cas
|
||||
// où quelqu'un appellerait la méthode initImplicitFlow(undefined|null), cela pourrait arriver.
|
||||
if (this.oauthService.state && this.oauthService.state !== 'undefined' && this.oauthService.state !== 'null') { |
||||
let stateUrl = this.oauthService.state; |
||||
if (stateUrl.startsWith('/') === false) { |
||||
stateUrl = decodeURIComponent(stateUrl); |
||||
} |
||||
console.log(`Il y a eu l'état de ${this.oauthService.state}, donc nous vous envoyons à ${stateUrl}`) ; |
||||
this.router.navigateByUrl(stateUrl); |
||||
} |
||||
}) |
||||
.catch(() => this.isDoneLoadingSubject$.next(true)); // Met à jour l'observable isDoneLoadingSubject
|
||||
} |
||||
|
||||
/** |
||||
* Affiche la page de connexion. |
||||
* @param targetUrl Url de destination |
||||
*/ |
||||
public login(targetUrl?: string) { |
||||
// Note : avant la version 9.1.0 de la librairie, il fallait
|
||||
// passer le composant encodageURIC dans les arguments de la méthode.
|
||||
this.oauthService.initLoginFlow(targetUrl || this.router.url); |
||||
} |
||||
|
||||
/** |
||||
* Supprime tous les tokens et déconnecte l'utilisateur. |
||||
*/ |
||||
public logout() { this.oauthService.logOut(); } |
||||
|
||||
/** |
||||
* Permet d'obtenir des nouveaux tokens quand/avant que les tokens existants expirent. |
||||
*/ |
||||
public refresh() { this.oauthService.silentRefresh(); } |
||||
|
||||
/** |
||||
* Vérifie si l'access_token est valide. |
||||
*/ |
||||
public hasValidToken() { return this.oauthService.hasValidAccessToken(); } |
||||
|
||||
/** |
||||
* Premier rôle dans la liste des rôles de l'utilisateur. |
||||
*/ |
||||
public get firstRole() { |
||||
if(this.identityClaims != null) |
||||
return this.oauthService.getIdentityClaims()['roles'][0];
|
||||
else |
||||
return; |
||||
} |
||||
|
||||
/** |
||||
* Liste des rôles de l'utilisateur. |
||||
*/ |
||||
public get roles() {
|
||||
if(this.identityClaims != null) |
||||
return this.oauthService.getIdentityClaims()['roles'];
|
||||
else |
||||
return; |
||||
} |
||||
|
||||
/** |
||||
* Nom et prénom de l'utilisateur. |
||||
*/ |
||||
public get userInfo() {
|
||||
if(this.identityClaims != null) |
||||
return this.oauthService.getIdentityClaims()['name'];
|
||||
else |
||||
return; |
||||
} |
||||
|
||||
|
||||
// Normalement, un service comme celui-ci ne les expose pas,
|
||||
// mais pour le débogage, c'est logique.
|
||||
|
||||
/** |
||||
* Access_token actuel. |
||||
*/ |
||||
public get accessToken() { return this.oauthService.getAccessToken(); } |
||||
|
||||
/** |
||||
* Refresh_Token actuel. |
||||
*/ |
||||
public get refreshToken() { return this.oauthService.getRefreshToken(); } |
||||
|
||||
/** |
||||
* Claims concernant l'utilisateur. |
||||
*/ |
||||
public get identityClaims() { return this.oauthService.getIdentityClaims(); } |
||||
|
||||
/** |
||||
* Id_token actuel. |
||||
*/ |
||||
public get idToken() { return this.oauthService.getIdToken(); } |
||||
|
||||
/** |
||||
* Url de déconnexion. |
||||
*/ |
||||
public get logoutUrl() { return this.oauthService.logoutUrl; } |
||||
} |
||||
@ -1,40 +0,0 @@ |
||||
import { Injectable } from '@angular/core'; |
||||
import { CanActivate, Router, ActivatedRouteSnapshot, RouterStateSnapshot } from '@angular/router'; |
||||
import { KeycloakService, KeycloakAuthGuard } from 'keycloak-angular'; |
||||
|
||||
|
||||
/** |
||||
* KeycloakGuard est la classe qui va gérer l'authentification et les droits d'accès en fonction des rôles Keycloak. |
||||
*/ |
||||
@Injectable() |
||||
export class KeycloakGuard extends KeycloakAuthGuard { |
||||
constructor(protected router: Router, protected keycloakAngular: KeycloakService) { |
||||
super(router, keycloakAngular); |
||||
} |
||||
|
||||
isAccessAllowed(route: ActivatedRouteSnapshot, state: RouterStateSnapshot): Promise<boolean> { |
||||
return new Promise(async (resolve, reject) => { |
||||
if (!this.authenticated) { |
||||
this.keycloakAngular.login(); |
||||
return; |
||||
} |
||||
|
||||
const requiredRoles = route.data.roles; |
||||
if (!requiredRoles || requiredRoles.length === 0) { |
||||
return resolve(true); |
||||
} else { |
||||
if (!this.roles || this.roles.length === 0) { |
||||
resolve(false); |
||||
} |
||||
let granted: boolean = false; |
||||
for (const requiredRole of requiredRoles) { |
||||
if (this.roles.indexOf(requiredRole) > -1) { |
||||
granted = true; |
||||
break; |
||||
} |
||||
} |
||||
resolve(granted); |
||||
} |
||||
}); |
||||
} |
||||
} |
||||
@ -0,0 +1,31 @@ |
||||
<html> |
||||
|
||||
<body> |
||||
<script> |
||||
// Based on: https://manfredsteyer.github.io/angular-oauth2-oidc/docs/additional-documentation/silent-refresh.html |
||||
|
||||
const checks = [/[\?|&|#]code=/, /[\?|&|#]error=/, /[\?|&|#]token=/, /[\?|&|#]id_token=/]; |
||||
|
||||
function isResponse(str) { |
||||
let count = 0; |
||||
|
||||
if (!str) { |
||||
return false; |
||||
} |
||||
|
||||
for (let i = 0; i < checks.length; i++) { |
||||
if (str.match(checks[i])) return true; |
||||
} |
||||
|
||||
return false; |
||||
} |
||||
|
||||
let message = isResponse(location.hash) ? location.hash : '#' + location.search; |
||||
|
||||
console.log("Rafraîchissement silencieux de l'iframe affichée dans l'application parente, message: ", message); |
||||
|
||||
(window.opener || window.parent).postMessage(message, location.origin); |
||||
</script> |
||||
</body> |
||||
|
||||
</html> |
||||
Loading…
Reference in new issue