# Diagnostic 401 Unauthorized - Backend

## Problème

Erreur lors de l'appel au backend :
```
Received: 'Unauthorized, status code 401' when invoking REST Client method: 
'dev.lions.user.manager.client.service.RoleServiceClient#getAllRealmRoles'
```

## Causes Possibles

### 1. Token JWT non envoyé au backend

**Vérification** :
- Ouvrir les DevTools du navigateur (F12)
- Aller dans l'onglet "Network"
- Filtrer par "XHR" ou "Fetch"
- Cliquer sur une requête vers `/api/roles/realm`
- Vérifier l'en-tête `Authorization: Bearer <token>`

**Solution** :
- Vérifier que `bearer-token-propagation=true` est configuré dans `application.properties`
- Vérifier que le client est bien authentifié via OIDC

### 2. Backend ne peut pas valider le token

**Vérification** :
- Vérifier les logs du backend pour voir les erreurs OIDC
- Chercher les messages : `Bearer access token is not available`, `Token validation failed`, etc.

**Solution** :
- Vérifier que `quarkus.oidc.enabled=true` dans `application-dev.properties`
- Vérifier que `quarkus.oidc.auth-server-url` pointe vers le bon realm (`lions-user-manager`)
- Vérifier que `quarkus.oidc.token.issuer` correspond au realm

### 3. Rôles non extraits du token

**Vérification** :
- Vérifier les logs du backend pour voir : `No claim exists at the path 'realm_access/roles'`
- Obtenir le token JWT et le décoder sur https://jwt.io
- Vérifier que le claim `realm_access.roles` existe et contient les rôles

**Solution** :
- Vérifier que `quarkus.oidc.roles.role-claim-path=realm_access/roles` est configuré
- Vérifier que le client Keycloak a le scope "roles" activé
- Vérifier que `fullScopeAllowed=true` est configuré pour le client

### 4. Token expiré

**Vérification** :
- Vérifier les logs du backend pour voir : `Token expired`
- Obtenir le token JWT et vérifier le claim `exp`

**Solution** :
- Se reconnecter pour obtenir un nouveau token
- Augmenter la durée de vie du token dans Keycloak si nécessaire

## Étapes de Diagnostic

### Étape 1 : Vérifier les logs du backend

Redémarrer le backend avec les logs DEBUG activés et chercher :

```bash
# Logs à surveiller
- "Bearer access token is not available"
- "No claim exists at the path"
- "Token validation failed"
- "Roles extracted from claim"
```

### Étape 2 : Vérifier le token JWT

1. Obtenir le token JWT (via DevTools ou script)
2. Décoder sur https://jwt.io
3. Vérifier :
   - `iss` : doit être `http://localhost:8180/realms/lions-user-manager`
   - `realm_access.roles` : doit contenir les rôles (`admin`, `user_manager`, etc.)
   - `exp` : doit être dans le futur

### Étape 3 : Vérifier la configuration OIDC

**Backend** (`application-dev.properties`) :
```properties
quarkus.oidc.enabled=true
quarkus.oidc.auth-server-url=http://localhost:8180/realms/lions-user-manager
quarkus.oidc.application-type=service
quarkus.oidc.token.issuer=http://localhost:8180/realms/lions-user-manager
quarkus.oidc.roles.role-claim-path=realm_access/roles
quarkus.oidc.verify-access-token=true
```

**Client** (`application.properties`) :
```properties
quarkus.rest-client."lions-user-manager-api".bearer-token-propagation=true
```

### Étape 4 : Tester manuellement avec curl

```bash
# 1. Obtenir un token
TOKEN=$(curl -X POST "http://localhost:8180/realms/lions-user-manager/protocol/openid-connect/token" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "username=test-user" \
  -d "password=test123" \
  -d "grant_type=password" \
  -d "client_id=lions-user-manager-client" \
  -d "client_secret=NTuaQpk5E6qiMqAWTFrCOcIkOABzZzKO" \
  -d "scope=openid profile email roles" | jq -r '.access_token')

# 2. Tester l'endpoint backend
curl -X GET "http://localhost:8081/api/roles/realm?realm=master" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json"
```

## Configuration Actuelle

### Backend OIDC
- **Realm** : `lions-user-manager`
- **Type** : `service` (valide les tokens sans client-id/secret)
- **Role Claim Path** : `realm_access/roles`
- **Token Audience** : `optional` (accepte tous les clients)

### Client OIDC
- **Realm** : `lions-user-manager`
- **Client ID** : `lions-user-manager-client`
- **Bearer Token Propagation** : `true`

## Solution Recommandée

1. **Vérifier que le backend est démarré** sur le port 8081
2. **Vérifier que Keycloak est démarré** sur le port 8180
3. **Vérifier que l'utilisateur `test-user` est connecté** au client
4. **Vérifier les logs du backend** pour voir exactement où l'erreur se produit
5. **Tester manuellement avec curl** pour isoler le problème

## Logs à Surveiller

### Backend (port 8081)
```bash
# Chercher ces messages dans les logs
DEBUG [io.qu.oi.ru.BearerAuthenticationMechanism] Starting a bearer access token authentication
DEBUG [io.qu.oi.ru.OidcUtils] Looking for a token in the authorization header
DEBUG [io.qu.oi.ru.OidcUtils] Roles extracted from claim 'realm_access/roles': [...]
```

### Client (port 8080)
```bash
# Chercher ces messages dans les logs
DEBUG [io.qu.oi.ru.OidcAuthenticationMechanism] q_session_chunk_1 cookie set
DEBUG [io.qu.oi.ru.OidcUtils] No claim exists at the path 'realm_access/roles'
```