5d3408fafa
Pattern hybride (cf. backend.md §7) : access token Bearer 30min en JSON + refresh token 30j en cookie httpOnly `rubis_refresh` géré custom au-dessus d'@adonisjs/auth qui ne ship pas de primitive refresh.
Migration refresh_tokens (uuid id, user_id FK CASCADE, hashed_token unique [SHA-256, 64 chars hex], expires_at, last_used_at nullable, revoked_at nullable, ip_address, user_agent). Index user_id + expires_at.
Service refresh_token.ts :
- issueRefreshToken(user, ctx) : génère 32 bytes random → base64url → hash SHA-256 stocké, plain dans le cookie httpOnly + secure (en prod) + sameSite strict + path=/api/v1/auth (le browser n'envoie le cookie que sur les routes auth, pas chaque requête API).
- consumeRefreshToken(ctx) : lookup par hash, validation expiry/revoked. Si on présente un token DÉJÀ révoqué, panic mode : tous les refresh tokens actifs du user sont invalidés (signal de vol — le vrai propriétaire devra se re-logger).
- revokeCurrentRefreshToken / revokeAllForUser pour logout et le panic.
Service auth_session.ts : factorise emitAuthSession(user, ctx) qui crée access + refresh + retourne l'AuthSession. Utilisé par signup / login / refresh — DRY.
Controllers :
- POST /auth/signup : emitAuthSession après tx (org + plans + user).
- POST /auth/login : emitAuthSession après verifyCredentials.
- POST /auth/refresh (nouveau) : consumeRefreshToken → emitAuthSession. Rotation : l'ancien token devient révoqué, le nouveau est posé. SPA-side : appelé au boot pour rehydrater + après 401 silencieux.
- POST /account/logout : User.accessTokens.delete + revokeCurrentRefreshToken + clearCookie.
CORS a déjà credentials: true → le cookie traverse cross-origin si origin allowed.
Bruno : nouvelle requête `Auth/04 Refresh.bru` + folder doc + flow décrit dans README. Bruno honore la cookie jar nativement, donc aucun setup additionnel pour tester.
⚠️ Le contrôleur Refresh est nouveau → le registre Tuyau-généré .adonisjs/server/controllers.ts sera régénéré au prochain `pnpm dev:api` (la regen est un effet de bord du boot Adonis, on ne peut pas la déclencher seule). Avant ce premier boot, `pnpm typecheck` échouera sur l'absence de `controllers.Refresh` dans le registre.
37 lines
1.1 KiB
TypeScript
37 lines
1.1 KiB
TypeScript
import { DateTime } from 'luxon'
|
|
import User from '#models/user'
|
|
import UserTransformer from '#transformers/user_transformer'
|
|
import env from '#start/env'
|
|
import { issueRefreshToken } from '#services/refresh_token'
|
|
import type { HttpContext } from '@adonisjs/core/http'
|
|
|
|
/**
|
|
* Émet une AuthSession complète : access token en JSON + refresh token
|
|
* en cookie httpOnly. Utilisé par signup et login.
|
|
*
|
|
* Format de réponse aligné sur packages/shared/src/types/auth.ts :
|
|
* `{ data: { accessToken, expiresAt, user } }`
|
|
*/
|
|
export async function emitAuthSession(
|
|
user: User,
|
|
ctx: HttpContext
|
|
): Promise<{
|
|
accessToken: string
|
|
expiresAt: string
|
|
user: ReturnType<UserTransformer['toObject']>
|
|
}> {
|
|
const accessToken = await User.accessTokens.create(user)
|
|
await issueRefreshToken(user, ctx)
|
|
|
|
const ttlMin = env.get('ACCESS_TOKEN_TTL_MINUTES', 30)
|
|
const expiresAt =
|
|
accessToken.expiresAt?.toISOString() ??
|
|
DateTime.now().plus({ minutes: ttlMin }).toISO()!
|
|
|
|
return {
|
|
accessToken: accessToken.value!.release(),
|
|
expiresAt,
|
|
user: new UserTransformer(user).toObject(),
|
|
}
|
|
}
|