From 6be127e18bdbea6031698baeb8632f917a8346eb Mon Sep 17 00:00:00 2001 From: syuilo Date: Sat, 28 Mar 2020 11:24:37 +0900 Subject: [PATCH] Implement MiAuth --- locales/ja-JP.yml | 4 + migration/1585361548360-miauth.ts | 36 +++++++ src/client/pages/auth.vue | 8 +- src/client/pages/doc.vue | 4 + src/client/pages/miauth.vue | 99 +++++++++++++++++++ src/client/router.ts | 1 + src/docs/api.ja-JP.md | 32 +++--- src/models/entities/access-token.ts | 54 +++++++++- src/server/api/authenticate.ts | 24 ++++- src/server/api/call.ts | 7 +- src/server/api/define.ts | 9 +- src/server/api/endpoints/app/show.ts | 4 +- .../api/endpoints/drive/files/create.ts | 2 +- src/server/api/endpoints/i.ts | 4 +- src/server/api/endpoints/i/update.ts | 4 +- src/server/api/endpoints/miauth/gen-token.ts | 54 ++++++++++ src/server/api/endpoints/notes/create.ts | 3 +- src/server/api/index.ts | 24 ++++- src/server/api/stream/index.ts | 5 +- 19 files changed, 330 insertions(+), 48 deletions(-) create mode 100644 migration/1585361548360-miauth.ts create mode 100644 src/client/pages/miauth.vue create mode 100644 src/server/api/endpoints/miauth/gen-token.ts diff --git a/locales/ja-JP.yml b/locales/ja-JP.yml index 40772f9b1f..4650f03a29 100644 --- a/locales/ja-JP.yml +++ b/locales/ja-JP.yml @@ -568,7 +568,11 @@ _permissions: _auth: shareAccess: "「{name}」がアカウントにアクセスすることを許可しますか？" + shareAccessAsk: "アカウントへのアクセスを許可しますか？" permissionAsk: "このアプリは次の権限を要求しています" + pleaseGoBack: "アプリケーションに戻ってやっていってください" + callback: "アプリケーションに戻っています" + denied: "アクセスを拒否しました" _antennaSources: all: "全てのノート" diff --git a/migration/1585361548360-miauth.ts b/migration/1585361548360-miauth.ts new file mode 100644 index 0000000000..22d6c207ff --- /dev/null +++ b/migration/1585361548360-miauth.ts @@ -0,0 +1,36 @@ +import {MigrationInterface, QueryRunner} from "typeorm"; + +export class miauth1585361548360 implements MigrationInterface { + name = 'miauth1585361548360' + + public async up(queryRunner: QueryRunner): Promise { + await queryRunner.query(`ALTER TABLE "access_token" ADD "lastUsedAt" TIMESTAMP WITH TIME ZONE DEFAULT null`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ADD "session" character varying(128) DEFAULT null`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ADD "name" character varying(128) DEFAULT null`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ADD "description" character varying(512) DEFAULT null`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ADD "iconUrl" character varying(512) DEFAULT null`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ADD "permission" character varying(64) array NOT NULL DEFAULT '{}'::varchar[]`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ADD "fetched" boolean NOT NULL DEFAULT false`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" DROP CONSTRAINT "FK_a3ff16c90cc87a82a0b5959e560"`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ALTER COLUMN "appId" DROP NOT NULL`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ALTER COLUMN "appId" SET DEFAULT null`, undefined); + await queryRunner.query(`CREATE INDEX "IDX_bf3a053c07d9fb5d87317c56ee" ON "access_token" ("session") `, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ADD CONSTRAINT "FK_a3ff16c90cc87a82a0b5959e560" FOREIGN KEY ("appId") REFERENCES "app"("id") ON DELETE CASCADE ON UPDATE NO ACTION`, undefined); + } + + public async down(queryRunner: QueryRunner): Promise { + await queryRunner.query(`ALTER TABLE "access_token" DROP CONSTRAINT "FK_a3ff16c90cc87a82a0b5959e560"`, undefined); + await queryRunner.query(`DROP INDEX "IDX_bf3a053c07d9fb5d87317c56ee"`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ALTER COLUMN "appId" DROP DEFAULT`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ALTER COLUMN "appId" SET NOT NULL`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" ADD CONSTRAINT "FK_a3ff16c90cc87a82a0b5959e560" FOREIGN KEY ("appId") REFERENCES "app"("id") ON DELETE CASCADE ON UPDATE NO ACTION`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" DROP COLUMN "fetched"`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" DROP COLUMN "permission"`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" DROP COLUMN "iconUrl"`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" DROP COLUMN "description"`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" DROP COLUMN "name"`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" DROP COLUMN "session"`, undefined); + await queryRunner.query(`ALTER TABLE "access_token" DROP COLUMN "lastUsedAt"`, undefined); + } + +} diff --git a/src/client/pages/auth.vue b/src/client/pages/auth.vue index 9f5b45f001..e025924fe0 100755 --- a/src/client/pages/auth.vue +++ b/src/client/pages/auth.vue @@ -12,20 +12,18 @@ @accepted="accepted" />
-

{{ $t('denied') }}

-

{{ $t('denied-paragraph') }}

+

{{ $t('_auth.denied') }}

{{ session.app.isAuthorized ? this.$t('already-authorized') : this.$t('allowed') }}

-

{{ $t('callback-url') }}

-

{{ $t('please-go-back') }}

+

{{ $t('_auth.callback') }}

+

{{ $t('_auth.pleaseGoBack') }}

{{ $t('error') }}

diff --git a/src/client/pages/doc.vue b/src/client/pages/doc.vue index 5cdb5999ba..8d1ba4bd73 100644 --- a/src/client/pages/doc.vue +++ b/src/client/pages/doc.vue @@ -118,6 +118,10 @@ export default Vue.extend({ margin-bottom: 0; } + ::v-deep a { + color: var(--link); + } + ::v-deep h2 { font-size: 1.25em; padding: 0 0 0.5em 0; diff --git a/src/client/pages/miauth.vue b/src/client/pages/miauth.vue new file mode 100644 index 0000000000..7d7e363d39 --- /dev/null +++ b/src/client/pages/miauth.vue @@ -0,0 +1,99 @@ + + + + + diff --git a/src/client/router.ts b/src/client/router.ts index 83445fea7e..70d497d36f 100644 --- a/src/client/router.ts +++ b/src/client/router.ts @@ -58,6 +58,7 @@ export const router = new VueRouter({ { path: '/notes/:note', name: 'note', component: page('note') }, { path: '/tags/:tag', component: page('tag') }, { path: '/auth/:token', component: page('auth') }, + { path: '/miauth/:session', component: page('miauth') }, { path: '/authorize-follow', component: page('follow') }, { path: '/share', component: page('share') }, { path: '*', component: page('not-found') } diff --git a/src/docs/api.ja-JP.md b/src/docs/api.ja-JP.md index 5d370a29cd..f47aeb81cf 100644 --- a/src/docs/api.ja-JP.md +++ b/src/docs/api.ja-JP.md @@ -3,25 +3,25 @@ MisskeyAPIを使ってMisskeyクライアント、Misskey連携Webサービス、Bot等(以下「アプリケーション」と呼びます)を開発できます。 ストリーミングAPIもあるので、リアルタイム性のあるアプリケーションを作ることも可能です。 -APIを使い始めるには、まずAPIキーを取得する必要があります。 -このドキュメントでは、APIキーを取得する手順を説明した後、基本的なAPIの使い方を説明します。 +APIを使い始めるには、まずアクセストークンを取得する必要があります。 +このドキュメントでは、アクセストークンを取得する手順を説明した後、基本的なAPIの使い方を説明します。 -## APIキーの取得 -基本的に、APIはリクエストにはAPIキーが必要となります。 -あなたの作ろうとしているアプリケーションが、あなた専用のものなのか、それとも不特定多数の人に使ってもらうものなのかによって、APIキーの取得手順は異なります。 +## アクセストークンの取得 +基本的に、APIはリクエストにはアクセストークンが必要となります。 +あなたの作ろうとしているアプリケーションが、あなた専用のものなのか、それとも不特定多数の人に使ってもらうものなのかによって、アクセストークンの取得手順は異なります。 -* あなた専用の場合: [「自分のアカウントのAPIキーを取得する」](#自分のアカウントのAPIキーを取得する)に進む -* 皆に使ってもらう場合: [「アプリケーションとしてAPIキーを取得する」](#アプリケーションとしてAPIキーを取得する)に進む +* あなた専用の場合: [「自分のアカウントのアクセストークンを取得する」](#自分のアカウントのアクセストークンを取得する)に進む +* 皆に使ってもらう場合: [「アプリケーションとしてアクセストークンを取得する」](#アプリケーションとしてアクセストークンを取得する)に進む -### 自分のアカウントのAPIキーを取得する -「設定 > API」で、自分のAPIキーを取得できます。 +### 自分のアカウントのアクセストークンを取得する +「設定 > API」で、自分のアクセストークンを取得できます。 -> この方法で入手したAPIキーは強力なので、第三者に教えないでください(アプリなどにも入力しないでください)。 +> この方法で入手したアクセストークンは強力なので、第三者に教えないでください(アプリなどにも入力しないでください)。 [「APIの使い方」へ進む](#APIの使い方) -### アプリケーションとしてAPIキーを取得する -アプリケーションを使ってもらうには、ユーザーのAPIキーを以下の手順で取得する必要があります。 +### アプリケーションとしてアクセストークンを取得する +アプリケーションを使ってもらうには、ユーザーのアクセストークンを以下の手順で取得する必要があります。 #### Step 1 @@ -38,23 +38,23 @@ UUIDを生成する。以後これをセッションIDと呼びます。 * `callback` ... 認証が終わった後にリダイレクトするURL * > 例: `https://missdeck.example.com/callback` * リダイレクト時には、`session`というクエリパラメータでセッションIDが付きます -* `permissions` ... アプリケーションが要求する権限 +* `permission` ... アプリケーションが要求する権限 * > 例: `write:notes,write:following,read:drive` * 要求する権限を`,`で区切って列挙します * どのような権限があるかは[APIリファレンス](/api-doc)で確認できます #### Step 3 -ユーザーが連携を許可した後、`{_URL_}/miauth/{session}/check`にPOSTリクエストすると、レスポンスとしてAPIキーを含むJSONが返ります。 +ユーザーが連携を許可した後、`{_URL_}/miauth/{session}/check`にPOSTリクエストすると、レスポンスとしてアクセストークンを含むJSONが返ります。 レスポンスに含まれるプロパティ: -* `token` ... ユーザーのAPIキー +* `token` ... ユーザーのアクセストークン * `user` ... ユーザーの情報 [「APIの使い方」へ進む](#APIの使い方) ## APIの使い方 **APIはすべてPOSTで、リクエスト/レスポンスともにJSON形式です。RESTではありません。** -APIキーは、`i`というパラメータ名でリクエストに含めます。 +アクセストークンは、`i`というパラメータ名でリクエストに含めます。 * [APIリファレンス](/api-doc) * [ストリーミングAPI](./stream) diff --git a/src/models/entities/access-token.ts b/src/models/entities/access-token.ts index 137bf1444d..5f41b3c1fc 100644 --- a/src/models/entities/access-token.ts +++ b/src/models/entities/access-token.ts @@ -13,12 +13,26 @@ export class AccessToken { }) public createdAt: Date; + @Column('timestamp with time zone', { + nullable: true, + default: null, + }) + public lastUsedAt: Date | null; + @Index() @Column('varchar', { length: 128 }) public token: string; + @Index() + @Column('varchar', { + length: 128, + nullable: true, + default: null + }) + public session: string | null; + @Index() @Column('varchar', { length: 128 @@ -35,12 +49,48 @@ export class AccessToken { @JoinColumn() public user: User | null; - @Column(id()) - public appId: App['id']; + @Column({ + ...id(), + nullable: true, + default: null + }) + public appId: App['id'] | null; @ManyToOne(type => App, { onDelete: 'CASCADE' }) @JoinColumn() public app: App | null; + + @Column('varchar', { + length: 128, + nullable: true, + default: null + }) + public name: string | null; + + @Column('varchar', { + length: 512, + nullable: true, + default: null + }) + public description: string | null; + + @Column('varchar', { + length: 512, + nullable: true, + default: null + }) + public iconUrl: string | null; + + @Column('varchar', { + length: 64, array: true, + default: '{}' + }) + public permission: string[]; + + @Column('boolean', { + default: false + }) + public fetched: boolean; } diff --git a/src/server/api/authenticate.ts b/src/server/api/authenticate.ts index 519ed77388..32ad3b4019 100644 --- a/src/server/api/authenticate.ts +++ b/src/server/api/authenticate.ts @@ -1,7 +1,11 @@ import isNativeToken from './common/is-native-token'; import { User } from '../../models/entities/user'; -import { App } from '../../models/entities/app'; import { Users, AccessTokens, Apps } from '../../models'; +import { ensure } from '../../prelude/ensure'; + +type App = { + permission: string[]; +}; export default async (token: string): Promise<[User | null | undefined, App | null | undefined]> => { if (token == null) { @@ -27,14 +31,26 @@ export default async (token: string): Promise<[User | null | undefined, App | nu throw new Error('invalid signature'); } - const app = await Apps - .findOne(accessToken.appId); + AccessTokens.update(accessToken.id, { + lastUsedAt: new Date(), + }); const user = await Users .findOne({ id: accessToken.userId // findOne(accessToken.userId) のように書かないのは後方互換性のため }); - return [user, app]; + if (accessToken.appId) { + const app = await Apps + .findOne(accessToken.appId).then(ensure); + + return [user, { + permission: app.permission + }]; + } else { + return [user, { + permission: accessToken.permission + }]; + } } }; diff --git a/src/server/api/call.ts b/src/server/api/call.ts index 37bcf7ce16..c75006ef31 100644 --- a/src/server/api/call.ts +++ b/src/server/api/call.ts @@ -4,7 +4,10 @@ import { User } from '../../models/entities/user'; import endpoints from './endpoints'; import { ApiError } from './error'; import { apiLogger } from './logger'; -import { App } from '../../models/entities/app'; + +type App = { + permission: string[]; +}; const accessDenied = { message: 'Access denied.', @@ -73,7 +76,7 @@ export default async (endpoint: string, user: User | null | undefined, app: App // API invoking const before = performance.now(); - return await ep.exec(data, user, app, file).catch((e: Error) => { + return await ep.exec(data, user, isSecure, file).catch((e: Error) => { if (e instanceof ApiError) { throw e; } else { diff --git a/src/server/api/define.ts b/src/server/api/define.ts index 1fd4543bd0..3c9e6863b7 100644 --- a/src/server/api/define.ts +++ b/src/server/api/define.ts @@ -2,7 +2,6 @@ import * as fs from 'fs'; import { ILocalUser } from '../../models/entities/user'; import { IEndpointMeta } from './endpoints'; import { ApiError } from './error'; -import { App } from '../../models/entities/app'; import { SchemaType } from '../../misc/schema'; // TODO: defaultが設定されている場合はその型も考慮する @@ -15,12 +14,12 @@ type Params = { export type Response = Record | void; type executor = - (params: Params, user: T['requireCredential'] extends true ? ILocalUser : ILocalUser | null, app: App, file?: any, cleanup?: Function) => + (params: Params, user: T['requireCredential'] extends true ? ILocalUser : ILocalUser | null, isSecure: boolean, file?: any, cleanup?: Function) => Promise>>; export default function (meta: T, cb: executor) - : (params: any, user: T['requireCredential'] extends true ? ILocalUser : ILocalUser | null, app: App, file?: any) => Promise { - return (params: any, user: T['requireCredential'] extends true ? ILocalUser : ILocalUser | null, app: App, file?: any) => { + : (params: any, user: T['requireCredential'] extends true ? ILocalUser : ILocalUser | null, isSecure: boolean, file?: any) => Promise { + return (params: any, user: T['requireCredential'] extends true ? ILocalUser : ILocalUser | null, isSecure: boolean, file?: any) => { function cleanup() { fs.unlink(file.path, () => {}); } @@ -37,7 +36,7 @@ export default function (meta: T, cb: executor) return Promise.reject(pserr); } - return cb(ps, user, app, file, cleanup); + return cb(ps, user, isSecure, file, cleanup); }; } diff --git a/src/server/api/endpoints/app/show.ts b/src/server/api/endpoints/app/show.ts index 2c8cdbe396..c1bbb2c53e 100644 --- a/src/server/api/endpoints/app/show.ts +++ b/src/server/api/endpoints/app/show.ts @@ -28,9 +28,7 @@ export const meta = { } }; -export default define(meta, async (ps, user, app) => { - const isSecure = user != null && app == null; - +export default define(meta, async (ps, user, isSecure) => { // Lookup app const ap = await Apps.findOne(ps.appId); diff --git a/src/server/api/endpoints/drive/files/create.ts b/src/server/api/endpoints/drive/files/create.ts index 3c5c982534..5043fbb8e7 100644 --- a/src/server/api/endpoints/drive/files/create.ts +++ b/src/server/api/endpoints/drive/files/create.ts @@ -78,7 +78,7 @@ export const meta = { } }; -export default define(meta, async (ps, user, app, file, cleanup) => { +export default define(meta, async (ps, user, isSecure, file, cleanup) => { // Get 'name' parameter let name = ps.name || file.originalname; if (name !== undefined && name !== null) { diff --git a/src/server/api/endpoints/i.ts b/src/server/api/endpoints/i.ts index d22de40c69..3909d54663 100644 --- a/src/server/api/endpoints/i.ts +++ b/src/server/api/endpoints/i.ts @@ -19,9 +19,7 @@ export const meta = { }, }; -export default define(meta, async (ps, user, app) => { - const isSecure = user != null && app == null; - +export default define(meta, async (ps, user, isSecure) => { return await Users.pack(user, user, { detail: true, includeHasUnreadNotes: true, diff --git a/src/server/api/endpoints/i/update.ts b/src/server/api/endpoints/i/update.ts index 5c4a9576e1..0a3ba824ae 100644 --- a/src/server/api/endpoints/i/update.ts +++ b/src/server/api/endpoints/i/update.ts @@ -178,9 +178,7 @@ export const meta = { } }; -export default define(meta, async (ps, user, app) => { - const isSecure = user != null && app == null; - +export default define(meta, async (ps, user, isSecure) => { const updates = {} as Partial; const profileUpdates = {} as Partial; diff --git a/src/server/api/endpoints/miauth/gen-token.ts b/src/server/api/endpoints/miauth/gen-token.ts new file mode 100644 index 0000000000..599ecf477e --- /dev/null +++ b/src/server/api/endpoints/miauth/gen-token.ts @@ -0,0 +1,54 @@ +import rndstr from 'rndstr'; +import $ from 'cafy'; +import define from '../../define'; +import { AccessTokens } from '../../../../models'; +import { genId } from '../../../../misc/gen-id'; + +export const meta = { + tags: ['auth'], + + requireCredential: true as const, + + secure: true, + + params: { + session: { + validator: $.str + }, + + name: { + validator: $.nullable.optional.str + }, + + description: { + validator: $.nullable.optional.str, + }, + + iconUrl: { + validator: $.nullable.optional.str, + }, + + permission: { + validator: $.arr($.str).unique(), + }, + }, +}; + +export default define(meta, async (ps, user) => { + // Generate access token + const accessToken = rndstr('a-zA-Z0-9', 32); + + // Insert access token doc + await AccessTokens.save({ + id: genId(), + createdAt: new Date(), + session: ps.session, + userId: user.id, + token: accessToken, + hash: accessToken, + name: ps.name, + description: ps.description, + iconUrl: ps.iconUrl, + permission: ps.permission, + }); +}); diff --git a/src/server/api/endpoints/notes/create.ts b/src/server/api/endpoints/notes/create.ts index e983ad6fd6..cccf138add 100644 --- a/src/server/api/endpoints/notes/create.ts +++ b/src/server/api/endpoints/notes/create.ts @@ -209,7 +209,7 @@ export const meta = { } }; -export default define(meta, async (ps, user, app) => { +export default define(meta, async (ps, user) => { let visibleUsers: User[] = []; if (ps.visibleUserIds) { visibleUsers = (await Promise.all(ps.visibleUserIds.map(id => Users.findOne(id)))) @@ -281,7 +281,6 @@ export default define(meta, async (ps, user, app) => { reply, renote, cw: ps.cw, - app, viaMobile: ps.viaMobile, localOnly: ps.localOnly, visibility: ps.visibility, diff --git a/src/server/api/index.ts b/src/server/api/index.ts index 258e632bd8..49209ede43 100644 --- a/src/server/api/index.ts +++ b/src/server/api/index.ts @@ -15,7 +15,7 @@ import signin from './private/signin'; import discord from './service/discord'; import github from './service/github'; import twitter from './service/twitter'; -import { Instances } from '../../models'; +import { Instances, AccessTokens, Users } from '../../models'; // Init app const app = new Koa(); @@ -73,6 +73,28 @@ router.get('/v1/instance/peers', async ctx => { ctx.body = instances.map(instance => instance.host); }); +router.post('/miauth/:session/check', async ctx => { + const token = await AccessTokens.findOne({ + session: ctx.params.session + }); + + if (token && !token.fetched) { + AccessTokens.update(token.id, { + fetched: true + }); + + ctx.body = { + ok: true, + token: token.token, + user: await Users.pack(token.userId, null, { detail: true }) + }; + } else { + ctx.body = { + ok: false, + }; + } +}); + // Return 404 for unknown API router.all('*', async ctx => { ctx.status = 404; diff --git a/src/server/api/stream/index.ts b/src/server/api/stream/index.ts index 463ae0a601..4b233b9a8b 100644 --- a/src/server/api/stream/index.ts +++ b/src/server/api/stream/index.ts @@ -7,10 +7,13 @@ import Channel from './channel'; import channels from './channels'; import { EventEmitter } from 'events'; import { User } from '../../../models/entities/user'; -import { App } from '../../../models/entities/app'; import { Users, Followings, Mutings } from '../../../models'; import { ApiError } from '../error'; +type App = { + permission: string[]; +}; + /** * Main stream connection */