|
| 1 | +/* Orbit ile giriş — istemci tarafı. |
| 2 | + * |
| 3 | + * Haber, Orbit'in doğrudan OIDC istemcisi. Anime'de araya Supabase giriyor |
| 4 | + * (Orbit'teki kayıtlı istemci aslında Supabase; yönlendirme adresi |
| 5 | + * `…supabase.co/auth/v1/callback`), çünkü anime statik bir site ve sunucusu |
| 6 | + * yok. Haber'in kendi Worker'ı ve D1'i var, yani aracıya gerek yok — ve bir |
| 7 | + * aracı daha az bağımlılık, daha az sır, daha az kesinti kaynağı demek. |
| 8 | + * |
| 9 | + * Token'ın DOĞRULANMASI burada değil: `verifyOrbitToken` zaten yazılmış ve |
| 10 | + * sınanmış durumda (`worker/src/identity.ts`). Burada yalnız akışın |
| 11 | + * tarayıcı tarafı var. |
| 12 | + */ |
| 13 | + |
| 14 | +const encoder = new TextEncoder(); |
| 15 | + |
| 16 | +export interface OrbitConfig { |
| 17 | + issuer: string; |
| 18 | + clientId: string; |
| 19 | + clientSecret: string; |
| 20 | +} |
| 21 | + |
| 22 | +interface Discovery { |
| 23 | + authorization_endpoint: string; |
| 24 | + token_endpoint: string; |
| 25 | +} |
| 26 | + |
| 27 | +/* Keşif belgesi önbelleği. Uç adresleri sabit yazmıyoruz — belge sözleşmenin |
| 28 | + * kendisi — ama her girişte çekmek de Orbit'in bir saniyelik kesintisini |
| 29 | + * haberin giriş kesintisi yapardı. */ |
| 30 | +const DISCOVERY_TTL_MS = 10 * 60 * 1000; |
| 31 | +let discoveryCache: { value: Discovery; fetchedAt: number } | null = null; |
| 32 | + |
| 33 | +export async function discover(issuer: string): Promise<Discovery> { |
| 34 | + if (discoveryCache && Date.now() - discoveryCache.fetchedAt < DISCOVERY_TTL_MS) { |
| 35 | + return discoveryCache.value; |
| 36 | + } |
| 37 | + const response = await fetch(`${issuer}/.well-known/openid-configuration`); |
| 38 | + if (!response.ok) throw new Error(`Orbit keşif belgesi alınamadı: ${response.status}`); |
| 39 | + const value = (await response.json()) as Discovery; |
| 40 | + if (!value.authorization_endpoint || !value.token_endpoint) { |
| 41 | + throw new Error('Orbit keşif belgesi eksik uç adresi taşıyor'); |
| 42 | + } |
| 43 | + discoveryCache = { value, fetchedAt: Date.now() }; |
| 44 | + return value; |
| 45 | +} |
| 46 | + |
| 47 | +export function base64Url(bytes: Uint8Array): string { |
| 48 | + let binary = ''; |
| 49 | + for (const byte of bytes) binary += String.fromCharCode(byte); |
| 50 | + return btoa(binary).replaceAll('+', '-').replaceAll('/', '_').replace(/=+$/u, ''); |
| 51 | +} |
| 52 | + |
| 53 | +export function randomToken(byteLength = 32): string { |
| 54 | + return base64Url(crypto.getRandomValues(new Uint8Array(byteLength))); |
| 55 | +} |
| 56 | + |
| 57 | +export async function sha256Base64Url(value: string): Promise<string> { |
| 58 | + return base64Url(new Uint8Array(await crypto.subtle.digest('SHA-256', encoder.encode(value)))); |
| 59 | +} |
| 60 | + |
| 61 | +/** PKCE doğrulayıcısı ve ondan türeyen meydan okuma. |
| 62 | + * |
| 63 | + * Orbit yalnız `S256` ilan ediyor; düz `plain` yöntemi hiç istenmiyor. |
| 64 | + * Doğrulayıcı 43-128 karakter olmak zorunda (RFC 7636); 32 bayt base64url |
| 65 | + * tam 43 karakter veriyor. */ |
| 66 | +export async function pkce(): Promise<{ verifier: string; challenge: string }> { |
| 67 | + const verifier = randomToken(32); |
| 68 | + return { verifier, challenge: await sha256Base64Url(verifier) }; |
| 69 | +} |
| 70 | + |
| 71 | +export async function authorizeUrl(options: { |
| 72 | + config: OrbitConfig; |
| 73 | + redirectUri: string; |
| 74 | + state: string; |
| 75 | + nonce: string; |
| 76 | + challenge: string; |
| 77 | + scopes: readonly string[]; |
| 78 | +}): Promise<string> { |
| 79 | + const { authorization_endpoint } = await discover(options.config.issuer); |
| 80 | + const url = new URL(authorization_endpoint); |
| 81 | + url.searchParams.set('response_type', 'code'); |
| 82 | + url.searchParams.set('client_id', options.config.clientId); |
| 83 | + url.searchParams.set('redirect_uri', options.redirectUri); |
| 84 | + url.searchParams.set('scope', options.scopes.join(' ')); |
| 85 | + url.searchParams.set('state', options.state); |
| 86 | + url.searchParams.set('nonce', options.nonce); |
| 87 | + url.searchParams.set('code_challenge', options.challenge); |
| 88 | + url.searchParams.set('code_challenge_method', 'S256'); |
| 89 | + return url.toString(); |
| 90 | +} |
| 91 | + |
| 92 | +export interface TokenResponse { |
| 93 | + id_token: string; |
| 94 | + access_token?: string; |
| 95 | + refresh_token?: string; |
| 96 | + expires_in?: number; |
| 97 | +} |
| 98 | + |
| 99 | +export async function exchangeCode(options: { |
| 100 | + config: OrbitConfig; |
| 101 | + code: string; |
| 102 | + verifier: string; |
| 103 | + redirectUri: string; |
| 104 | +}): Promise<TokenResponse> { |
| 105 | + const { token_endpoint } = await discover(options.config.issuer); |
| 106 | + const body = new URLSearchParams({ |
| 107 | + grant_type: 'authorization_code', |
| 108 | + code: options.code, |
| 109 | + code_verifier: options.verifier, |
| 110 | + redirect_uri: options.redirectUri, |
| 111 | + }); |
| 112 | + |
| 113 | + /* İstemci sırrı Basic başlığında, gövdede değil. İkisi de kabul ediliyor |
| 114 | + * (keşif belgesi ikisini de ilan ediyor) ama başlık yolu, sırrın bir gün |
| 115 | + * bir istek gövdesi günlüğüne düşme ihtimalini azaltıyor. */ |
| 116 | + const basic = btoa( |
| 117 | + `${encodeURIComponent(options.config.clientId)}:${encodeURIComponent(options.config.clientSecret)}`, |
| 118 | + ); |
| 119 | + |
| 120 | + const response = await fetch(token_endpoint, { |
| 121 | + method: 'POST', |
| 122 | + headers: { |
| 123 | + 'content-type': 'application/x-www-form-urlencoded', |
| 124 | + authorization: `Basic ${basic}`, |
| 125 | + }, |
| 126 | + body, |
| 127 | + }); |
| 128 | + |
| 129 | + if (!response.ok) { |
| 130 | + /* Orbit'in hata gövdesi `error` ve `error_description` taşıyor. Kodu |
| 131 | + * yansıtıyoruz ama açıklamayı kullanıcıya göstermiyoruz: karşı tarafın |
| 132 | + * metnini kendi sayfamıza basmak, oraya yazılan her şeyi bize |
| 133 | + * yazdırmaktır. */ |
| 134 | + const detay = await response.text().catch(() => ''); |
| 135 | + throw new Error(`Orbit token takası reddetti (${response.status}): ${detay.slice(0, 200)}`); |
| 136 | + } |
| 137 | + |
| 138 | + const tokens = (await response.json()) as TokenResponse; |
| 139 | + if (typeof tokens.id_token !== 'string' || tokens.id_token.length === 0) { |
| 140 | + throw new Error('Orbit yanıtı id_token taşımıyor'); |
| 141 | + } |
| 142 | + return tokens; |
| 143 | +} |
| 144 | + |
| 145 | +/** ID token'ın gövdesini okur — DOĞRULAMADAN. |
| 146 | + * |
| 147 | + * İmza kontrolü `verifyOrbitToken`ın işi ve bu fonksiyon onun yerine |
| 148 | + * geçmez. Buradan okunan tek şey imzanın doğrulandığı BİLİNDİKTEN sonra |
| 149 | + * gereken ek alanlar: `nonce`, `name`, `picture`. Sıra bozulursa doğrulanmamış |
| 150 | + * bir gövdeye güvenilmiş olur, o yüzden çağıran taraf önce doğrulamalı. |
| 151 | + */ |
| 152 | +export function claimsOku(idToken: string): Record<string, unknown> | null { |
| 153 | + const parcalar = idToken.split('.'); |
| 154 | + if (parcalar.length !== 3) return null; |
| 155 | + try { |
| 156 | + const base64 = parcalar[1].replaceAll('-', '+').replaceAll('_', '/'); |
| 157 | + const dolgulu = base64.padEnd(Math.ceil(base64.length / 4) * 4, '='); |
| 158 | + const ikili = atob(dolgulu); |
| 159 | + const baytlar = Uint8Array.from(ikili, (c) => c.charCodeAt(0)); |
| 160 | + const cozulmus = JSON.parse(new TextDecoder().decode(baytlar)); |
| 161 | + return cozulmus && typeof cozulmus === 'object' ? cozulmus : null; |
| 162 | + } catch { |
| 163 | + return null; |
| 164 | + } |
| 165 | +} |
0 commit comments