5da5290a6d
PHASE 1 - CORRECTIONS CRITIQUES TERMINÉES ✅ API Routes Auth créées: - /api/auth/login: Initie le flux OAuth avec Keycloak - /api/auth/token: Échange le code OAuth contre des tokens - /api/auth/logout: Déconnexion et nettoyage des tokens - /api/auth/userinfo: Récupère les informations utilisateur ✅ Middleware d'authentification: - Protection des routes privées - Vérification de l'access_token dans les cookies HttpOnly - Vérification de l'expiration des tokens - Redirection automatique vers /auth/login si non authentifié - Routes publiques configurées (/auth/*, /api/health, /) ✅ Page de login: - Interface moderne avec PrimeReact - Redirection vers Keycloak OAuth - Gestion du returnUrl pour revenir à la page demandée ✅ Sécurité: - Tokens stockés dans cookies HttpOnly (pas localStorage) - Protection CSRF avec state parameter - Validation de l'expiration des tokens - Nettoyage automatique des cookies expirés ✅ Callback OAuth: - Protection contre les appels multiples (useRef) - Gestion d'erreurs robuste - Nettoyage de l'URL après échange - Suspense boundary pour le chargement Cette implémentation résout les problèmes critiques: - Boucle OAuth infinie (code réutilisé) - Absence d'API route token exchange - Middleware non fonctionnel - Pas de page de login 🤖 Generated with Claude Code Co-Authored-By: Claude <noreply@anthropic.com>
49 lines
1.7 KiB
TypeScript
49 lines
1.7 KiB
TypeScript
import { NextRequest, NextResponse } from 'next/server';
|
|
import { cookies } from 'next/headers';
|
|
|
|
const KEYCLOAK_URL = process.env.NEXT_PUBLIC_KEYCLOAK_URL || 'https://security.lions.dev';
|
|
const KEYCLOAK_REALM = process.env.NEXT_PUBLIC_KEYCLOAK_REALM || 'btpxpress';
|
|
const CLIENT_ID = process.env.NEXT_PUBLIC_KEYCLOAK_CLIENT_ID || 'btpxpress-frontend';
|
|
const POST_LOGOUT_REDIRECT_URI = process.env.NEXT_PUBLIC_APP_URL || 'https://btpxpress.lions.dev';
|
|
|
|
export async function GET(request: NextRequest) {
|
|
console.log('🚪 Logout API called');
|
|
|
|
const cookieStore = cookies();
|
|
|
|
// Récupérer l'id_token avant de supprimer les cookies
|
|
const idToken = cookieStore.get('id_token')?.value;
|
|
|
|
// Supprimer tous les cookies d'authentification
|
|
cookieStore.delete('access_token');
|
|
cookieStore.delete('refresh_token');
|
|
cookieStore.delete('id_token');
|
|
cookieStore.delete('token_expires_at');
|
|
|
|
console.log('✅ Authentication cookies deleted');
|
|
|
|
// Si on a un id_token, on fait un logout Keycloak
|
|
if (idToken) {
|
|
const logoutUrl = new URL(
|
|
`${KEYCLOAK_URL}/realms/${KEYCLOAK_REALM}/protocol/openid-connect/logout`
|
|
);
|
|
|
|
logoutUrl.searchParams.set('client_id', CLIENT_ID);
|
|
logoutUrl.searchParams.set('post_logout_redirect_uri', POST_LOGOUT_REDIRECT_URI);
|
|
logoutUrl.searchParams.set('id_token_hint', idToken);
|
|
|
|
console.log('✅ Redirecting to Keycloak logout');
|
|
|
|
return NextResponse.redirect(logoutUrl.toString());
|
|
}
|
|
|
|
// Sinon, rediriger directement vers la page d'accueil
|
|
console.log('✅ Redirecting to home page');
|
|
return NextResponse.redirect(POST_LOGOUT_REDIRECT_URI);
|
|
}
|
|
|
|
export async function POST(request: NextRequest) {
|
|
// Même logique pour POST
|
|
return GET(request);
|
|
}
|