source.dussan.org Git - sonarqube.git/blob

   1 /*
   2  * SonarQube
   3  * Copyright (C) 2009-2019 SonarSource SA
   4  * mailto:info AT sonarsource DOT com
   5  *
   6  * This program is free software; you can redistribute it and/or
   7  * modify it under the terms of the GNU Lesser General Public
   8  * License as published by the Free Software Foundation; either
   9  * version 3 of the License, or (at your option) any later version.
  10  *
  11  * This program is distributed in the hope that it will be useful,
  12  * but WITHOUT ANY WARRANTY; without even the implied warranty of
  13  * MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the GNU
  14  * Lesser General Public License for more details.
  15  *
  16  * You should have received a copy of the GNU Lesser General Public License
  17  * along with this program; if not, write to the Free Software Foundation,
  18  * Inc., 51 Franklin Street, Fifth Floor, Boston, MA  02110-1301, USA.
  19  */
  20 package org.sonar.server.authentication;
  21
  22 import com.google.common.base.Strings;
  23 import com.google.common.reflect.TypeToken;
  24 import com.google.gson.Gson;
  25 import com.google.gson.GsonBuilder;
  26 import java.io.UnsupportedEncodingException;
  27 import java.lang.reflect.Type;
  28 import java.util.HashMap;
  29 import java.util.Map;
  30 import java.util.Optional;
  31 import javax.annotation.Nullable;
  32 import javax.servlet.http.HttpServletRequest;
  33 import javax.servlet.http.HttpServletResponse;
  34
  35 import static java.net.URLDecoder.decode;
  36 import static java.nio.charset.StandardCharsets.UTF_8;
  37 import static java.util.Optional.empty;
  38 import static org.apache.commons.lang.StringUtils.isNotBlank;
  39 import static org.sonar.server.authentication.AuthenticationRedirection.encodeMessage;
  40 import static org.sonar.server.authentication.Cookies.findCookie;
  41 import static org.sonar.server.authentication.Cookies.newCookieBuilder;
  42
  43 public class OAuth2AuthenticationParametersImpl implements OAuth2AuthenticationParameters {
  44
  45   private static final String AUTHENTICATION_COOKIE_NAME = "AUTH-PARAMS";
  46   private static final int FIVE_MINUTES_IN_SECONDS = 5 * 60;
  47
  48   /**
  49    * The HTTP parameter that contains the path where the user should be redirect to.
  50    * Please note that the web context is included.
  51    */
  52   private static final String RETURN_TO_PARAMETER = "return_to";
  53
  54   /**
  55    * This parameter is used to allow the shift of email from an existing user to the authenticating user
  56    */
  57   private static final String ALLOW_EMAIL_SHIFT_PARAMETER = "allowEmailShift";
  58
  59   /**
  60    * This parameter is used to allow the update of login
  61    */
  62   private static final String ALLOW_LOGIN_UPDATE_PARAMETER = "allowUpdateLogin";
  63
  64   private static final Type JSON_MAP_TYPE = new TypeToken<HashMap<String, String>>() {
  65   }.getType();
  66
  67   @Override
  68   public void init(HttpServletRequest request, HttpServletResponse response) {
  69     String returnTo = request.getParameter(RETURN_TO_PARAMETER);
  70     String allowEmailShift = request.getParameter(ALLOW_EMAIL_SHIFT_PARAMETER);
  71     String allowLoginUpdate = request.getParameter(ALLOW_LOGIN_UPDATE_PARAMETER);
  72     Map<String, String> parameters = new HashMap<>();
  73     Optional<String> sanitizeRedirectUrl = sanitizeRedirectUrl(returnTo);
  74     sanitizeRedirectUrl.ifPresent(s -> parameters.put(RETURN_TO_PARAMETER, s));
  75     if (isNotBlank(allowEmailShift)) {
  76       parameters.put(ALLOW_EMAIL_SHIFT_PARAMETER, allowEmailShift);
  77     }
  78     if (isNotBlank(allowLoginUpdate)) {
  79       parameters.put(ALLOW_LOGIN_UPDATE_PARAMETER, allowLoginUpdate);
  80     }
  81     if (parameters.isEmpty()) {
  82       return;
  83     }
  84     response.addCookie(newCookieBuilder(request)
  85       .setName(AUTHENTICATION_COOKIE_NAME)
  86       .setValue(toJson(parameters))
  87       .setHttpOnly(true)
  88       .setExpiry(FIVE_MINUTES_IN_SECONDS)
  89       .build());
  90   }
  91
  92   @Override
  93   public Optional<String> getReturnTo(HttpServletRequest request) {
  94     return getParameter(request, RETURN_TO_PARAMETER);
  95   }
  96
  97   @Override
  98   public Optional<Boolean> getAllowEmailShift(HttpServletRequest request) {
  99     Optional<String> parameter = getParameter(request, ALLOW_EMAIL_SHIFT_PARAMETER);
 100     return parameter.map(Boolean::parseBoolean);
 101   }
 102
 103   @Override
 104   public Optional<Boolean> getAllowUpdateLogin(HttpServletRequest request) {
 105     Optional<String> parameter = getParameter(request, ALLOW_LOGIN_UPDATE_PARAMETER);
 106     return parameter.map(Boolean::parseBoolean);
 107   }
 108
 109   private static Optional<String> getParameter(HttpServletRequest request, String parameterKey) {
 110     Optional<javax.servlet.http.Cookie> cookie = findCookie(AUTHENTICATION_COOKIE_NAME, request);
 111     if (!cookie.isPresent()) {
 112       return empty();
 113     }
 114
 115     Map<String, String> parameters = fromJson(cookie.get().getValue());
 116     if (parameters.isEmpty()) {
 117       return empty();
 118     }
 119     return Optional.ofNullable(parameters.get(parameterKey));
 120   }
 121
 122   @Override
 123   public void delete(HttpServletRequest request, HttpServletResponse response) {
 124     response.addCookie(newCookieBuilder(request)
 125       .setName(AUTHENTICATION_COOKIE_NAME)
 126       .setValue(null)
 127       .setHttpOnly(true)
 128       .setExpiry(0)
 129       .build());
 130   }
 131
 132   private static String toJson(Map<String, String> map) {
 133     Gson gson = new GsonBuilder().create();
 134     return encodeMessage(gson.toJson(map));
 135   }
 136
 137   private static Map<String, String> fromJson(String json) {
 138     Gson gson = new GsonBuilder().create();
 139     try {
 140       return gson.fromJson(decode(json, UTF_8.name()), JSON_MAP_TYPE);
 141     } catch (UnsupportedEncodingException e) {
 142       throw new IllegalStateException(e);
 143     }
 144   }
 145
 146   /**
 147    * This sanitization has been inspired by 'IsUrlLocalToHost()' method in
 148    * https://docs.microsoft.com/en-us/aspnet/mvc/overview/security/preventing-open-redirection-attacks
 149    */
 150   private static Optional<String> sanitizeRedirectUrl(@Nullable String url) {
 151     if (Strings.isNullOrEmpty(url)) {
 152       return empty();
 153     }
 154     if (url.startsWith("//") || url.startsWith("/\\")) {
 155       return empty();
 156     }
 157     if (!url.startsWith("/")) {
 158       return empty();
 159     }
 160     return Optional.of(url);
 161   }
 162
 163 }