installation du réperttoire www/live afin de gérer le vérificateur d'accès à la page live (wasm et api)
This commit is contained in:
@@ -0,0 +1,73 @@
|
||||
<?php
|
||||
//************************************************************************************************************
|
||||
// live/auth.php - Ouverture d'une session Live (synthèse §49).
|
||||
// Appelé via https://b<N>.ship2net.fr/_auth?ticket=... (routeur Traefik dédié, SANS ForwardAuth), juste après le
|
||||
// clic sur "Live" dans le portail. Consomme le ticket (60 s, usage unique, lié au bateau), crée une session et pose
|
||||
// le cookie HttpOnly propre au sous-domaine du bateau, puis renvoie vers l'application.
|
||||
//************************************************************************************************************
|
||||
require_once(__DIR__."/commun.php");
|
||||
|
||||
$id_bateau = Bateau_depuis_hote($_SERVER['HTTP_HOST'] ?? '');
|
||||
$ticket = $_GET['ticket'] ?? '';
|
||||
if ($id_bateau == 0 || !is_string($ticket) || preg_match('/^[0-9a-f]{64}$/', $ticket) !== 1)
|
||||
{
|
||||
Page_refus(400, "Lien Live invalide", "Ce lien n'est pas valide. Ouvrez le Live depuis la page du bateau, sur le portail.");
|
||||
}
|
||||
|
||||
try
|
||||
{
|
||||
$db = Connexion_live();
|
||||
|
||||
// Purge des tickets et sessions périmés depuis plus d'un jour (ici : appelé rarement, à chaque ouverture de session) :
|
||||
$db->query("DELETE FROM TB_Tickets_live WHERE Expiration < NOW() - INTERVAL 1 DAY");
|
||||
$db->query("DELETE FROM TB_Sessions_live WHERE Expiration < NOW() - INTERVAL 1 DAY");
|
||||
|
||||
// Consommation du ticket : toutes les conditions DANS la mise à jour (usage unique, même en cas de requêtes simultanées) :
|
||||
$empreinte_ticket = hash('sha256', $ticket);
|
||||
$stmt = $db->prepare("UPDATE TB_Tickets_live SET Date_utilisation=NOW()
|
||||
WHERE Empreinte=? AND ID_Bateau=? AND Date_utilisation IS NULL AND Expiration > NOW()");
|
||||
$stmt->bind_param('si', $empreinte_ticket, $id_bateau);
|
||||
$stmt->execute();
|
||||
$consomme = ($stmt->affected_rows == 1);
|
||||
$stmt->close();
|
||||
if (!$consomme) Page_refus(403, "Lien Live expiré", "Ce lien a expiré ou a déjà été utilisé. Ouvrez à nouveau le Live depuis la page du bateau, sur le portail.");
|
||||
|
||||
$stmt = $db->prepare("SELECT ID_Shipmember FROM TB_Tickets_live WHERE Empreinte=?");
|
||||
$stmt->bind_param('s', $empreinte_ticket);
|
||||
$stmt->execute();
|
||||
$id_shipmember = (int)$stmt->get_result()->fetch_row()[0];
|
||||
$stmt->close();
|
||||
|
||||
if (!Droit_live($db, $id_shipmember, $id_bateau)) Page_refus(403, "Accès refusé", "Vous n'avez pas (ou plus) accès à ce bateau.");
|
||||
|
||||
// Durée de session (TB_Configuration, heures) :
|
||||
$duree = DUREE_SESSION_LIVE_DEFAUT;
|
||||
$resultat = $db->query("SELECT Valeur FROM TB_Configuration WHERE Nom='Duree_session_live' AND Validite=1");
|
||||
if ($ligne = $resultat->fetch_row()) $duree = max(1, (int)$ligne[0]);
|
||||
|
||||
// Création de la session : seule l'empreinte de la valeur du cookie est enregistrée :
|
||||
$valeur_cookie = bin2hex(random_bytes(32));
|
||||
$empreinte_session = hash('sha256', $valeur_cookie);
|
||||
$stmt = $db->prepare("INSERT INTO TB_Sessions_live (Empreinte, ID_Shipmember, ID_Bateau, Expiration) VALUES (?, ?, ?, NOW() + INTERVAL ? HOUR)");
|
||||
$stmt->bind_param('siii', $empreinte_session, $id_shipmember, $id_bateau, $duree);
|
||||
$stmt->execute();
|
||||
$stmt->close();
|
||||
$db->close();
|
||||
}
|
||||
catch (Throwable $e)
|
||||
{
|
||||
error_log("live/auth.php : ".$e->getMessage());
|
||||
Page_refus(503, "Service momentanément indisponible", "Le Live ne peut pas être ouvert pour l'instant. Réessayez dans quelques instants.");
|
||||
}
|
||||
|
||||
// Cookie propre à CE sous-domaine (pas d'attribut domain), inaccessible au code de la page (HttpOnly) :
|
||||
setcookie(NOM_COOKIE_LIVE, $valeur_cookie, [
|
||||
'expires' => time() + $duree * 3600,
|
||||
'path' => '/',
|
||||
'secure' => true,
|
||||
'httponly' => true,
|
||||
'samesite' => 'Lax',
|
||||
]);
|
||||
header('Cache-Control: no-store');
|
||||
header('Location: /', true, 303); // L'URL du ticket disparaît de la barre d'adresse
|
||||
exit();
|
||||
@@ -0,0 +1,81 @@
|
||||
<?php
|
||||
//************************************************************************************************************
|
||||
// live/commun.php - Fonctions communes du vérificateur du Live distant (synthèse §49).
|
||||
//
|
||||
// Le dossier /var/www/live est servi par le conteneur ship2net-php sur un port INTERNE (8081), joint uniquement
|
||||
// par Traefik : aucun routeur public ne mène à ce port, et il est hors de /var/www/html (le site public). Il ne
|
||||
// charge que les définitions (connexion à la base), pas fonctions.php : il est appelé à chaque requête vers un
|
||||
// bateau (fichiers du wasm et API).
|
||||
//************************************************************************************************************
|
||||
|
||||
require_once(__DIR__."/../config/production.php");
|
||||
require_once(__DIR__."/../config/definitions.php");
|
||||
|
||||
const NOM_COOKIE_LIVE = "ship2net_live";
|
||||
const DUREE_SESSION_LIVE_DEFAUT = 4; // heures, si TB_Configuration.Duree_session_live est absente
|
||||
|
||||
mysqli_report(MYSQLI_REPORT_ERROR | MYSQLI_REPORT_STRICT); // Erreurs SQL en exceptions (traitées : refus par défaut)
|
||||
|
||||
|
||||
//************************************************************************************************************
|
||||
// Fonction : Numéro du bateau visé, d'après le nom d'hôte de la requête d'origine (b<N>.ship2net.fr).
|
||||
// Reçoit : Le nom d'hôte
|
||||
// Retour : Le numéro (entier > 0), ou 0 si le nom ne correspond pas
|
||||
//************************************************************************************************************
|
||||
function Bateau_depuis_hote($hote)
|
||||
{
|
||||
$hote = strtolower(preg_replace('/:\d+$/', '', trim((string)$hote))); // sans port éventuel
|
||||
if (preg_match('/^b([1-9][0-9]{0,9})\.'.preg_quote(URL_SITE, '/').'$/', $hote, $m) !== 1) return 0;
|
||||
return (int)$m[1];
|
||||
}
|
||||
|
||||
|
||||
//************************************************************************************************************
|
||||
// Fonction : Connexion à la base principale (mêmes paramètres que le site).
|
||||
// Retour : L'objet mysqli (exception en cas d'échec)
|
||||
//************************************************************************************************************
|
||||
function Connexion_live()
|
||||
{
|
||||
return new mysqli(BDD_HOST, BDD_USER, BDD_PASSWORD, BDD_DATABASE);
|
||||
}
|
||||
|
||||
|
||||
//************************************************************************************************************
|
||||
// Fonction : Page d'explication renvoyée au navigateur (ticket invalide, session expirée...), avec un lien vers le
|
||||
// portail. Le code HTTP est fourni par l'appelant.
|
||||
//************************************************************************************************************
|
||||
function Page_refus($code_http, $titre, $texte)
|
||||
{
|
||||
http_response_code($code_http);
|
||||
header('Content-Type: text/html; charset=UTF-8');
|
||||
header('Cache-Control: no-store');
|
||||
echo '<!DOCTYPE html><html lang="fr"><head><meta charset="UTF-8"><meta name="viewport" content="width=device-width, initial-scale=1">'
|
||||
.'<title>'.htmlspecialchars($titre).'</title>'
|
||||
.'<style>body{font-family:-apple-system,Segoe UI,Roboto,Arial,sans-serif;color:#004563;text-align:center;padding:3em 1em}'
|
||||
.'a{display:inline-block;margin-top:1.5em;padding:.6em 1.5em;border-radius:1em;background:#004563;color:#fff;text-decoration:none}</style>'
|
||||
.'</head><body><h1>'.htmlspecialchars($titre).'</h1><p>'.htmlspecialchars($texte).'</p>'
|
||||
.'<a href="https://'.URL_SITE.'/shipmembers.php">'.htmlspecialchars("Retour au portail Ship2net").'</a></body></html>';
|
||||
exit();
|
||||
}
|
||||
|
||||
|
||||
//************************************************************************************************************
|
||||
// Fonction : Le ShipMember a-t-il droit au Live de ce bateau EN CE MOMENT ? Compte valide, et : administrateur, ou
|
||||
// accès 'actif' non expiré au bateau. Appelée à l'ouverture de la session ET à chaque requête : un accès
|
||||
// suspendu ou révoqué depuis le portail coupe le Live immédiatement.
|
||||
// Retour : true si autorisé
|
||||
//************************************************************************************************************
|
||||
function Droit_live($db, $id_shipmember, $id_bateau)
|
||||
{
|
||||
$stmt = $db->prepare("SELECT 1 FROM TB_Shipmembers M
|
||||
WHERE M.ID=? AND M.Validite=1
|
||||
AND (M.Niveau_acces >= ?
|
||||
OR EXISTS (SELECT 1 FROM TB_Lien_bateau_shipmember L
|
||||
WHERE L.ID_Shipmember=M.ID AND L.ID_Bateau=? AND L.Statut='actif' AND L.Fin_validite >= NOW()))");
|
||||
$niveau_admin = NIVEAU_ACCES_MINI_ADMINISTRATEUR;
|
||||
$stmt->bind_param('iii', $id_shipmember, $niveau_admin, $id_bateau);
|
||||
$stmt->execute();
|
||||
$autorise = ($stmt->get_result()->num_rows == 1);
|
||||
$stmt->close();
|
||||
return $autorise;
|
||||
}
|
||||
@@ -0,0 +1,52 @@
|
||||
<?php
|
||||
//************************************************************************************************************
|
||||
// live/verifier.php - Vérification d'une session Live, appelée par Traefik (middleware ForwardAuth) pour CHAQUE
|
||||
// requête vers un bateau (fichiers du wasm comme API) - synthèse §49.
|
||||
// Traefik transmet les en-têtes de la requête d'origine (cookie compris) et indique l'hôte d'origine dans
|
||||
// X-Forwarded-Host (qu'il réécrit lui-même : non falsifiable par le client, et ce port n'est joignable que par lui).
|
||||
// Réponse 200 : Traefik laisse passer la requête vers le CM5. Toute autre réponse est renvoyée telle quelle au
|
||||
// navigateur. Refus par défaut : toute anomalie (base injoignable comprise) aboutit à un refus.
|
||||
//************************************************************************************************************
|
||||
require_once(__DIR__."/commun.php");
|
||||
|
||||
$id_bateau = Bateau_depuis_hote($_SERVER['HTTP_X_FORWARDED_HOST'] ?? '');
|
||||
$valeur_cookie = $_COOKIE[NOM_COOKIE_LIVE] ?? '';
|
||||
|
||||
$autorise = false;
|
||||
if ($id_bateau > 0 && is_string($valeur_cookie) && preg_match('/^[0-9a-f]{64}$/', $valeur_cookie) === 1)
|
||||
{
|
||||
try
|
||||
{
|
||||
$db = Connexion_live();
|
||||
$empreinte = hash('sha256', $valeur_cookie);
|
||||
$stmt = $db->prepare("SELECT ID_Shipmember FROM TB_Sessions_live WHERE Empreinte=? AND ID_Bateau=? AND Expiration > NOW()");
|
||||
$stmt->bind_param('si', $empreinte, $id_bateau);
|
||||
$stmt->execute();
|
||||
$ligne = $stmt->get_result()->fetch_row();
|
||||
$stmt->close();
|
||||
if ($ligne) $autorise = Droit_live($db, (int)$ligne[0], $id_bateau);
|
||||
$db->close();
|
||||
}
|
||||
catch (Throwable $e)
|
||||
{
|
||||
error_log("live/verifier.php : ".$e->getMessage());
|
||||
$autorise = false;
|
||||
}
|
||||
}
|
||||
|
||||
if ($autorise)
|
||||
{
|
||||
http_response_code(200);
|
||||
exit();
|
||||
}
|
||||
|
||||
// Refus : page explicative pour une navigation (le navigateur affiche une page), réponse brève pour l'API (appels du wasm) :
|
||||
$accept = $_SERVER['HTTP_ACCEPT'] ?? '';
|
||||
if (strpos($accept, 'text/html') !== false)
|
||||
{
|
||||
Page_refus(401, "Session Live expirée", "Votre session Live a expiré, ou votre accès à ce bateau a changé. Ouvrez à nouveau le Live depuis la page du bateau, sur le portail.");
|
||||
}
|
||||
http_response_code(401);
|
||||
header('Content-Type: text/plain; charset=UTF-8');
|
||||
header('Cache-Control: no-store');
|
||||
echo "Session Live absente ou expirée";
|
||||
Reference in New Issue
Block a user