122 lines
3.7 KiB
Go
122 lines
3.7 KiB
Go
package web
|
|
|
|
import (
|
|
"fmt"
|
|
"net/http"
|
|
"strconv"
|
|
"time"
|
|
|
|
"munin/internal/auth"
|
|
"munin/internal/store"
|
|
)
|
|
|
|
// handleHome leitet nach der Anmeldung an die passende Startseite weiter.
|
|
func (s *Server) handleHome(w http.ResponseWriter, r *http.Request) {
|
|
sess, _ := SessionFrom(r)
|
|
|
|
if sess.IsPlatformAdmin {
|
|
http.Redirect(w, r, "/admin/projects", http.StatusSeeOther)
|
|
return
|
|
}
|
|
http.Redirect(w, r, "/p/"+sess.Project.Slug+"/", http.StatusSeeOther)
|
|
}
|
|
|
|
// handleLoginForm zeigt das Anmeldeformular.
|
|
func (s *Server) handleLoginForm(w http.ResponseWriter, r *http.Request) {
|
|
s.render(w, r, "login.html", http.StatusOK, pageData{Title: "Anmelden"})
|
|
}
|
|
|
|
// handleLoginSubmit prüft den eingegebenen Key und setzt den Session-Cookie.
|
|
func (s *Server) handleLoginSubmit(w http.ResponseWriter, r *http.Request) {
|
|
ip := auth.ClientIP(r)
|
|
key := r.FormValue("key")
|
|
|
|
subject, ok := s.resolveLoginKey(r, key)
|
|
if !ok {
|
|
// Erst nach einem Fehlversuch die Sperre prüfen und hochzählen — wer den
|
|
// richtigen Key hat, kommt immer durch (siehe Kommentar an APIAuth).
|
|
if allowed, retryAfter := s.limiter.Allow(ip); !allowed {
|
|
sekunden := int(retryAfter.Seconds()) + 1
|
|
w.Header().Set("Retry-After", strconv.Itoa(sekunden))
|
|
http.Error(w, fmt.Sprintf("Zu viele Anmeldeversuche. Bitte in %d Sekunden erneut versuchen.", sekunden),
|
|
http.StatusTooManyRequests)
|
|
return
|
|
}
|
|
|
|
s.limiter.RecordFailure(ip)
|
|
s.store.LogAudit(r.Context(), store.AuditEvent{
|
|
Actor: "unbekannt", Action: store.ActionAuthFailure, Source: store.SourceWeb, IP: ip,
|
|
})
|
|
|
|
s.render(w, r, "login.html", http.StatusUnauthorized, pageData{
|
|
Title: "Anmelden",
|
|
Error: "Ungültiger Key.",
|
|
})
|
|
return
|
|
}
|
|
|
|
s.limiter.Reset(ip)
|
|
s.setSessionCookie(w, r, subject)
|
|
http.Redirect(w, r, "/", http.StatusSeeOther)
|
|
}
|
|
|
|
// resolveLoginKey prüft einen Key beim Anmelden und gibt das Session-Subject zurück.
|
|
func (s *Server) resolveLoginKey(r *http.Request, key string) (string, bool) {
|
|
if key == "" {
|
|
return "", false
|
|
}
|
|
|
|
// Der Plattform-Admin meldet sich mit dem ADMIN_TOKEN an. Verglichen werden
|
|
// die Hashes, damit auch hier keine Zeichenkette Zeichen für Zeichen
|
|
// verglichen wird und die Antwortzeit nichts verrät.
|
|
if auth.HashKey(key) == s.adminTokenHash {
|
|
s.store.LogAudit(r.Context(), store.AuditEvent{
|
|
Actor: "platform-admin", Action: store.ActionLoginSuccess,
|
|
Source: store.SourceWeb, IP: auth.ClientIP(r),
|
|
})
|
|
return auth.SubjectPlatformAdmin, true
|
|
}
|
|
|
|
if !auth.LooksLikeKey(key) {
|
|
return "", false
|
|
}
|
|
|
|
resolved, err := s.store.ResolveKeyHash(r.Context(), auth.HashKey(key))
|
|
if err != nil {
|
|
return "", false
|
|
}
|
|
|
|
s.store.LogAudit(r.Context(), store.AuditEvent{
|
|
ProjectID: resolved.Project.ID, APIKeyID: resolved.Key.ID, Actor: resolved.Key.Name,
|
|
Action: store.ActionLoginSuccess, Source: store.SourceWeb, IP: auth.ClientIP(r),
|
|
})
|
|
|
|
return auth.SubjectKeyPrefix + resolved.Key.ID, true
|
|
}
|
|
|
|
// handleLogout löscht den Session-Cookie.
|
|
func (s *Server) handleLogout(w http.ResponseWriter, r *http.Request) {
|
|
cookie := &http.Cookie{
|
|
Name: auth.SessionCookieName,
|
|
Value: "",
|
|
Expires: time.Unix(0, 0),
|
|
MaxAge: -1,
|
|
}
|
|
// Ein Lösch-Cookie muss dieselben Merkmale tragen wie das Original, sonst
|
|
// behandelt der Browser es als ein anderes Cookie und das alte bleibt liegen.
|
|
s.cookies.Apply(cookie, r)
|
|
http.SetCookie(w, cookie)
|
|
|
|
http.Redirect(w, r, "/login", http.StatusSeeOther)
|
|
}
|
|
|
|
// setSessionCookie signiert das Subject und setzt es als Cookie.
|
|
func (s *Server) setSessionCookie(w http.ResponseWriter, r *http.Request, subject string) {
|
|
cookie := &http.Cookie{
|
|
Name: auth.SessionCookieName,
|
|
Value: s.signer.SignSession(subject),
|
|
Expires: time.Now().Add(auth.SessionTTL),
|
|
}
|
|
s.cookies.Apply(cookie, r)
|
|
http.SetCookie(w, cookie)
|
|
}
|