Subversion Repositories Applications.papyrus

<?php

// Remplacement de apache_request_headers pour les vieux serveurs
// http://stackoverflow.com/questions/2916232/call-to-undefined-function-apache-request-headers
if(!function_exists('apache_request_headers')) {
        function apache_request_headers() {
                // Based on: http://www.iana.org/assignments/message-headers/message-headers.xml#perm-headers
                $arrCasedHeaders = array(
                                // HTTP
                                'Dasl'             => 'DASL',
                                'Dav'              => 'DAV',
                                'Etag'             => 'ETag',
                                'Mime-Version'     => 'MIME-Version',
                                'Slug'             => 'SLUG',
                                'Te'               => 'TE',
                                'Www-Authenticate' => 'WWW-Authenticate',
                                // MIME
                                'Content-Md5'      => 'Content-MD5',
                                'Content-Id'       => 'Content-ID',
                                'Content-Features' => 'Content-features',
                );
                $arrHttpHeaders = array();

                foreach($_SERVER as $strKey => $mixValue) {
                        if('HTTP_' !== substr($strKey, 0, 5)) {
                                continue;
                        }

                        $strHeaderKey = strtolower(substr($strKey, 5));

                        if(0 < substr_count($strHeaderKey, '_')) {
                                $arrHeaderKey = explode('_', $strHeaderKey);
                                $arrHeaderKey = array_map('ucfirst', $arrHeaderKey);
                                $strHeaderKey = implode('-', $arrHeaderKey);
                        }
                        else {
                                $strHeaderKey = ucfirst($strHeaderKey);
                        }

                        if(array_key_exists($strHeaderKey, $arrCasedHeaders)) {
                                $strHeaderKey = $arrCasedHeaders[$strHeaderKey];
                        }

                        $arrHttpHeaders[$strHeaderKey] = $mixValue;
                }
                return $arrHttpHeaders;
        }
}

class identificationSso {
        
        // Attention bien v�rifier la pr�sence des variables suivantes :
        // IDEN_UTILISE_SSO, IDEN_URL_SSO, IDEN_HEADER_SSO, IDEN_COOKIE_SSO
        // dans le fichier iden_config.inc.php
        private $cookie_tentative_identification = "";
        /** Une tentative par minute pour s'identifier suffit largement */
        private $delai_tentative_identification = 60;
        
        private $auth_header = 'Authorization';
        
        private $annuaire_url = '';
        
        private $bdd_annuaire = '';
        private $table_annuaire = '';
        private $champ_login = '';
        private $champ_mdp = '';
        
        private $communs_papyrus = null;

        public function __construct() {
                $this->communs_papyrus = $GLOBALS['_GEN_commun'];
                
                $this->cookie_tentative_identification = IDEN_COOKIE_SSO;
                $this->auth_header = IDEN_HEADER_SSO;   
                $this->annuaire_url = IDEN_URL_SSO;
                
                // c'est moche mais je n'ai pas trouv� plus simple pour r�cuperer la table annuaire en cours 
                // d'utilisation pour le site actuel (la bdd annuaire est la derni�re partie du dsn)
                $dsn_annuaire = $this->communs_papyrus['info_auth_bdd']->gsab_dsn;
                $dsn_annuaire = explode('/', $dsn_annuaire);
                $this->bdd_annuaire = end($dsn_annuaire);
                
                $this->table_annuaire = $this->communs_papyrus['info_auth_bdd']->gsab_nom_table;
                $this->champ_login = $this->communs_papyrus['info_auth_bdd']->gsab_nom_champ_login;
                $this->champ_mdp = $this->communs_papyrus['info_auth_bdd']->gsab_nom_champ_mdp;
        }

        function getToken() {
                // Premier essai, dans le header
                $headers = @apache_request_headers();
                $token = !empty($headers['Authorization']) ? $headers['Authorization'] : null;
                // Eventuellement, le jeton a pu �tre pass� dans un header non standard, comme dans 
                // le cas o� le header Authorization est supprim� par le mod cgi d'apache
                // Dans ce cas l� on v�rifie aussi dans un header alternatif si celui ci a �t� renseign�
                if($token == null && $this->auth_header != 'Authorization') {
                        $token = !empty($headers[$this->auth_header]) ? $headers[$this->auth_header] : null;
                }

                // Sinon dans $_REQUEST ?
                if($token == null) {
                        $token = !empty($_REQUEST['Authorization']) ? $_REQUEST['Authorization'] : null;
                }
                
                // Sinon dans $_COOKIE ?
                if($token == null) {
                        $token = !empty($_COOKIE['tb_auth']) ? $_COOKIE['tb_auth'] : null;
                }

                return $token;
        }

        public function decoderToken($token) {
                $token_parts = explode('.', $token);
                return json_decode(base64_decode($token_parts[1]), true);
        }

        // http://stackoverflow.com/questions/1251582/beautiful-way-to-remove-get-variables-with-php?lq=1
        function supprimerUrlVar($url, $var) {
                 return rtrim(preg_replace('/([?&])'.$var.'=[^&]+(&|$)/','$1',$url), '&?');
        }
        
        function connecterEtRediriger() {
                $url_redirect = 'http://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI'];
                $params = 'login='.$_POST['username'].'&password='.$_POST['password'].'&redirect_url='.urlencode($url_redirect);
                $connexion_url = $this->annuaire_url."connexion?".$params;
                
                header('Location: '.$connexion_url);
                exit;
        }
        
        function deconnecterEtRediriger() {
                $url_redirect = 'http://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI'];
                $url_redirect = $this->supprimerUrlVar($url_redirect, 'logout');
                
                $deconnexion_url = $this->annuaire_url."deconnexion?".'redirect_url='.urlencode($url_redirect);
                
                header('Location: '.$deconnexion_url);
                exit;
        }
        
        function verifierIdentiteEtRediriger() {
                // si on fait autre chose qu'un GET, on ne vérifie pas l'identité, car
                // cela conduirait à une redirection en GET (avec le jeton), qui
                // supprimerait les données du corps de la requête
                if ($_SERVER['REQUEST_METHOD'] == "GET") {
                        if(empty($_COOKIE['sso_tentative_identification'])) {

                                if($this->communs_papyrus['pear_auth']->getAuth()) {

                                        $cookie_persistant_nom = session_name().'-memo';
                                        $cookie_utilisateur_nom = session_name().'-utilisateur';

                                        // Si l'utilisateur est d�j� connect� par pear
                                        // on fait tout de m�me une op�ration de logout
                                        // pour coordonner la d�connection depuis une autre application
                                        $this->communs_papyrus['pear_auth']->logout();
                                        // Destruction du cookie de session de Papyrus : est ce utile?
                                        setcookie(session_name(), session_id(), time()-3600, '/');
                                        // Destruction du cookie de permanence de l'identitification de Papyrus
                                        setcookie($cookie_persistant_nom, '', time()-3600, '/');
                                        setcookie($cookie_utilisateur_nom, '', time()-3600, '/');
                                }

                                $url_redirect = 'http://'.$_SERVER['HTTP_HOST'].$_SERVER['REQUEST_URI'];
                                $url = $this->annuaire_url."identite?redirect_url=".urlencode($url_redirect);

                                // une tentative toutes les $this->delai_tentative_identification
                                setcookie($this->cookie_tentative_identification, 1, time() + $this->delai_tentative_identification, '/');

                                header('Location: '.$url);

                        } else {
                                $jeton = $this->getToken();

                                if($jeton != null) {
                                        // Verification du jeton aupres de l'annuaire
                                        $valide = $this->verifierToken($jeton);
                                        if ($valide === true) {
                                                $jeton_decode = $this->decoderToken($jeton);

                                                // R�cup�ration du mot de passe pour remplir les infos de l'objet PEAR Auth
                                                $requete =  'SELECT '.$this->champ_mdp.' '.
                                                                'FROM '.$this->bdd_annuaire.'.'.$this->table_annuaire.' '.
                                                                'WHERE '.$this->champ_login.' = "'.$jeton_decode['sub'].'" ';

                                                // TODO: normalement �a n'est jamais le cas mais que fait t'on si l'utilisateur n'existe pas
                                                // dans notre base de donn�es ? (au pire il ne sera pas connect�)

                                                $this->communs_papyrus['pear_auth']->username = $jeton_decode['sub'];
                                                $this->communs_papyrus['pear_auth']->password = $this->communs_papyrus['pear_db']->getOne($requete);

                                                // Le mot de passe est d�j� crypt� dans la bdd donc il faut indiquer � pear de ne pas le re crytper
                                                if (isset($this->communs_papyrus['pear_auth']->storage_options)) {
                                                        $this->communs_papyrus['pear_auth']->storage_options['cryptType'] = 'none';
                                                }
                                                if (isset($this->communs_papyrus['pear_auth']->storage->options)) {
                                                        $this->communs_papyrus['pear_auth']->storage->options['cryptType'] = 'none';
                                                }
                                        }
                                }
                        }
                }
        }

        /**
         * Vérifie un jeton auprès de l'annuaire
         */
        protected function verifierToken($token) {
                $verificationServiceURL = $this->annuaire_url . "verifytoken";
                $verificationServiceURL .= "?token=" . $token;

                $info = file_get_contents($verificationServiceURL);
                $info = json_decode($info, true);

                return ($info === true);
        }
}
?>