[WIP] [OAuth] Authorization Endpoint の作成

[!important] この Issue はまだ書き途中です。仕様変更の可能性があります。完成するまで実装はしないことをおすすめします。

OAuth 2.0 において、リソース所有者 (Resource Owner; ユーザーのこと) がサービスに対して「この情報を与えてもいいですよ」という認可 (Authorization) を与えるエンドポイントが必要です。 OAuth 2.0 仕様では Authorization Endpoint と呼ばれています。この Authorization Endpoint を作成しましょう。

エンドポイントの場所・許可するメソッド

パス: /oauth/authorize
GET メソッド (Optional で POST も) を許可し、それ以外は拒否する (405 Method not allowed を返す)

受け取るパラメータ

GET ならクエリパラメータとして、 POST ならリクエストボディとして受け取る

response_type: Required. string
client_id: Required. string
redirect_uri: Optional. string
scope: Optional. string
state: Optional. string

チェックすること

上から順に行うことを想定しています

client_id が存在するかチェックし、またパラメータ内に複数存在しないこともチェックする。
client_id の値が DB の中にあるかチェックする
- Table: oauth_client, key: id でヒットするかチェックすればよい (SELECT * FROM oauth_client WHERE id = ?)
redirect_uri がパラメータ内に複数存在しないかチェックする (存在しなくてもよい)
redirect_uri が存在するかチェックする
- 存在する場合、 client_id の Callback URL として登録されているものか DB でチェックする
- 存在しない場合、 client_id の Callback URL が 1 つだけ登録されているかチェックする

ここまででおかしいものがあれば、 400 Bad Request レスポンスを返す。以下、 redirect_uri パラメータが存在していない場合、その値は DB に登録されている唯 1 つの Callback URL で上書きしたとして話を進める。

response_type が存在するかチェックする。同じパラメータが複数存在しないことをチェックする。
- おかしい場合、 redirect_uri のクエリパラメータに error=invalid_request を付与してリダイレクトさせる
response_type の値が code かチェックする。
- code でない場合、 error=unsupported_response_type としてリダイレクト
scope が存在するかチェックする。
- 存在する場合、 ^[\x21|\x23-\x5B|\x5D-\x7E]+(?:\x20+[\x21|\x23-\x5B|\x5D-\x7E]+)*$ の正規表現にマッチするか確認する
- マッチしていない場合は error=invalid_scope でリダイレクト
- マッチしている場合、 scope は空白区切りの ASCII 印字可能文字 (ただし "\ の 2 つは除く) となっているはず
- これら scope のすべてが scope として定義されている (= oauth_scope 内の name として存在するか) チェックする
- 重複消して SELECT COUNT(*) FROM oauth_scope WHERE name IN ? が個数と一致するか確認したりすればいいのかな
- 1 つでも定義されていないものがある場合、 error=invalid_scope

なお、パラメータに state が存在する場合、リダイレクト時に state=パラメータの値 も付与すること

応答

HTML を返す
OAuth Client の情報を表示させる
- DB Table oauth_client の Column name, description, logo_url, owner_id を使う
以下の要素を持つ form を持つ
- action: /oauth/callback, method: POST
- input, type=hidden, name=client_id, value=パラメータのそのままの値
- input, type=hidden, name=redirect_uri, value=パラメータそのままの値
- input, type=hidden, name=state, value=パラメータそのままの値
- input, type=hidden, name=scope, value=パラメータそのままの値
- input, type=hidden, name=time, value=リクエストが来たときの時間 (UNIX ms)
- input, type=hidden, name=auth_token, value=下記参照
- button, type=submit, name=authorized, value=1, 表示させる値=「承認」的な何か
- button, type=submit, name=authorized, value=0, 表示させる値=「拒否」的な何か

デザインは後回しでよいですヘッダには Cache-Control: no-store, Pragma: no-cache を指定する

`auth_token` について

client_id, redirect_uri, state, scope, time を環境変数 PRIVKEY に格納されている秘密鍵でハッシュを取り、その値を token として使用する。ハッシュは ECDSA P-512 にすると @saitamau-maximum/auth/internal のやつが使えるのでうれしいかも？ (特に強制はしません)

ハッシュの取り方はこの 4 つの値を持っていればなんでもいいと思っていて、例えば

client_id: 値
redirect_uri: 値
state: 値
scope: 値
time: 値

という文字列をそのままハッシュ関数に入れるとか

saitamau-maximum / auth