gorbenko.pavel/tnsu-approval-route
1
0
Fork 0
Code Issues Pull Requests 1 Actions Packages Projects Releases Wiki Activity

основное сделано

Browse Source
This commit is contained in:
gorbenko.pavel
2026-08-12 15:12:11 +05:00
parent 4b83d666f1
commit 9fc089c37a
47 changed files with 2481 additions and 52 deletions
Download Patch File Download Diff File Expand all files Collapse all files
backend/Tnsu.ApprovalRoute.Api/Auth/AuthSchemes.cs
+24
View File
@@ -1,6 +1,30 @@
using Microsoft.AspNetCore.Authentication.JwtBearer;
namespace Tnsu.ApprovalRoute.Api.Auth;
public static class AuthSchemes
{
/// <summary>Локальная разработка и тесты — Entra не настроен (см. AuthSetup).</summary>
public const string Dev = "Dev";
/// <summary>Токен пользователя (делегированный) — обычная работа админки.</summary>
public const string Bearer = JwtBearerDefaults.AuthenticationScheme;
/// <summary>
/// Токен приложения (client_credentials) — вызовы без участия пользователя,
/// например Power Automate, который по расписанию забирает напоминания.
/// </summary>
public const string AppOnly = "AppOnly";
}
public static class AuthPolicies
{
/// <summary>Только пользовательские токены.</summary>
public const string Delegated = "Delegated";
/// <summary>Только токены приложений.</summary>
public const string AppOnly = "AppOnlyPolicy";
/// <summary>Любой из двух — политика по умолчанию для всех контроллеров.</summary>
public const string Any = "AnyAuth";
}
backend/Tnsu.ApprovalRoute.Api/Auth/AuthSetup.cs
+122 -22
View File
@@ -6,36 +6,136 @@ namespace Tnsu.ApprovalRoute.Api.Auth;
public static class AuthSetup
{
/// <summary>
/// Две схемы аутентификации вместо одной: помимо пользовательского токена
/// (админка) API должен принимать токен ПРИЛОЖЕНИЯ — эндпоинт напоминаний
/// вызывает Power Automate по расписанию, там нет ни пользователя, ни
/// интерактивного входа.
///
/// Сделано по образцу api-tnsu-portal/AuthRegistration.cs, включая настройки
/// Entra — приложение регистрируется то же самое.
/// </summary>
public static IServiceCollection AddApprovalRouteAuth(this IServiceCollection services, IConfiguration configuration)
{
var tenantId = configuration["Entra:TenantId"];
var audience = configuration["Entra:Audience"];
if (!string.IsNullOrWhiteSpace(tenantId) && !string.IsNullOrWhiteSpace(audience))
{
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options =>
{
options.Authority = $"https://login.microsoftonline.com/{tenantId}/v2.0";
options.TokenValidationParameters = new TokenValidationParameters
{
ValidIssuers =
[
$"https://login.microsoftonline.com/{tenantId}/v2.0",
$"https://sts.windows.net/{tenantId}/"
],
ValidAudiences = [audience, $"api://{audience}"]
};
});
}
AddEntraAuth(services, configuration, tenantId, audience);
else
{
services.AddAuthentication(AuthSchemes.Dev)
.AddScheme<AuthenticationSchemeOptions, DevAuthHandler>(AuthSchemes.Dev, _ => { });
}
services.AddAuthorization();
AddDevAuth(services);
return services;
}
private static void AddEntraAuth(
IServiceCollection services, IConfiguration configuration, string tenantId, string audience)
{
// Белый список приложений, которым разрешён app-only доступ. Пустой список
// означает «не ограничивать» — иначе на пустой конфигурации сломались бы
// вообще все app-only вызовы, что при выкладке выглядит как необъяснимый 401.
var allowedAppIds = configuration.GetSection("Entra:AllowedAppIds").Get<string[]>() ?? [];
var validationParameters = () => new TokenValidationParameters
{
ValidAudiences = [audience, $"api://{audience}"],
ValidIssuers =
[
$"https://login.microsoftonline.com/{tenantId}/v2.0",
$"https://sts.windows.net/{tenantId}/"
],
ValidateIssuer = true,
ValidateAudience = true,
ValidateLifetime = true
};
services.AddAuthentication(options =>
{
options.DefaultAuthenticateScheme = AuthSchemes.Bearer;
options.DefaultChallengeScheme = AuthSchemes.Bearer;
})
.AddJwtBearer(AuthSchemes.Bearer, options =>
{
options.Authority = $"https://login.microsoftonline.com/{tenantId}/v2.0";
options.TokenValidationParameters = validationParameters();
});
services.AddAuthentication()
.AddJwtBearer(AuthSchemes.AppOnly, options =>
{
options.Authority = $"https://login.microsoftonline.com/{tenantId}/v2.0";
options.TokenValidationParameters = validationParameters();
options.Events = new JwtBearerEvents
{
// Подпись, издатель и аудитория у app-only токена те же, что у
// пользовательского, поэтому единственное, что реально отличает
// «свой» вызывающий сервис от любого приложения тенанта, — appid.
OnTokenValidated = context =>
{
var claims = context.Principal?.Claims;
var appId = claims?.FirstOrDefault(c => c.Type == "appid")?.Value
?? claims?.FirstOrDefault(c => c.Type == "azp")?.Value;
if (allowedAppIds.Length > 0 && !allowedAppIds.Contains(appId))
{
context.HttpContext.RequestServices
.GetRequiredService<ILoggerFactory>()
.CreateLogger("Auth.AppOnly")
.LogWarning("Приложение «{AppId}» отклонено — его нет в Entra:AllowedAppIds", appId);
context.Fail($"Приложение «{appId}» не входит в список разрешённых.");
}
return Task.CompletedTask;
}
};
});
services.AddAuthorization(options =>
{
options.AddPolicy(AuthPolicies.Delegated, policy =>
{
policy.AuthenticationSchemes.Add(AuthSchemes.Bearer);
policy.RequireAuthenticatedUser();
});
options.AddPolicy(AuthPolicies.AppOnly, policy =>
{
policy.AuthenticationSchemes.Add(AuthSchemes.AppOnly);
policy.RequireAuthenticatedUser();
});
// RequireAssertion, а не RequireAuthenticatedUser: политика с двумя
// схемами падает, если ОДНА из них отвергла токен, даже когда вторая
// его приняла. Здесь достаточно, чтобы аутентифицировала любая.
options.AddPolicy(AuthPolicies.Any, policy =>
{
policy.AddAuthenticationSchemes(AuthSchemes.Bearer, AuthSchemes.AppOnly);
policy.RequireAssertion(ctx => ctx.User.Identities.Any(i => i.IsAuthenticated));
});
options.DefaultPolicy = options.GetPolicy(AuthPolicies.Any)!;
});
}
private static void AddDevAuth(IServiceCollection services)
{
services.AddAuthentication(AuthSchemes.Dev)
.AddScheme<AuthenticationSchemeOptions, DevAuthHandler>(AuthSchemes.Dev, _ => { });
// Те же имена политик, но поверх Dev-схемы: иначе контроллер с
// [Authorize(Policy = ...)] падал бы локально с «политика не найдена».
services.AddAuthorization(options =>
{
foreach (var name in new[] { AuthPolicies.Delegated, AuthPolicies.AppOnly, AuthPolicies.Any })
{
options.AddPolicy(name, policy =>
{
policy.AuthenticationSchemes.Add(AuthSchemes.Dev);
policy.RequireAuthenticatedUser();
});
}
options.DefaultPolicy = options.GetPolicy(AuthPolicies.Any)!;
});
}
}
backend/Tnsu.ApprovalRoute.Api/Controllers/RemindersController.cs
+26
View File
@@ -0,0 +1,26 @@
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using Tnsu.ApprovalRoute.Api.Auth;
using Tnsu.ApprovalRoute.Api.Common;
using Tnsu.ApprovalRoute.Application.Reminders;
namespace Tnsu.ApprovalRoute.Api.Controllers;
/// <summary>
/// Просроченные шаги согласования и исполнения на текущий момент.
///
/// Политика — та же AnyAuth, что и у остальных контроллеров: эндпоинт вызывает
/// Power Automate по расписанию (токен приложения), но и из админки его удобно
/// открыть под пользователем, чтобы посмотреть, что сервис реально отдаёт.
/// </summary>
[ApiController]
[Authorize(Policy = AuthPolicies.Any)]
[Route("api/reminders")]
[Produces("application/json")]
public sealed class RemindersController(ReminderService service) : ControllerBase
{
[HttpGet]
[ProducesResponseType(typeof(ApiResponse<IReadOnlyList<ReminderDto>>), StatusCodes.Status200OK)]
public async Task<IActionResult> List(CancellationToken ct) =>
(await service.GetOverdueAsync(DateTimeOffset.UtcNow, ct)).ToActionResult();
}
backend/Tnsu.ApprovalRoute.Api/Program.cs
+2
View File
@@ -9,6 +9,7 @@ using Scalar.AspNetCore;
using Tnsu.ApprovalRoute.Api.Auth;
using Tnsu.ApprovalRoute.Api.Filters;
using Tnsu.ApprovalRoute.Application;
using Tnsu.ApprovalRoute.Application.Reminders;
using Tnsu.ApprovalRoute.Application.Common.Interfaces;
using Tnsu.ApprovalRoute.Infrastructure;
@@ -35,6 +36,7 @@ builder.Services.AddCors(options =>
});
builder.Services.AddApprovalRouteInfrastructure(builder.Configuration);
builder.Services.AddApprovalRouteApplication();
builder.Services.Configure<RemindersOptions>(builder.Configuration.GetSection("Reminders"));
builder.Services.AddApprovalRouteAuth(builder.Configuration);
builder.Services.AddScoped<ICurrentUser, CurrentUserAccessor>();
builder.Services.AddOpenApi(options =>
backend/Tnsu.ApprovalRoute.Api/appsettings.json
+8 -1
View File
@@ -10,7 +10,8 @@
},
"Entra": {
"TenantId": "b4c2af35-bfd6-4cff-9af9-556efb53e65a",
"Audience": "9232d9e2-9807-4753-808f-07250e5474b0"
"Audience": "9232d9e2-9807-4753-808f-07250e5474b0",
"AllowedAppIds": []
},
"Dev": {
"DefaultUserEmail": "dev@tnsu.kz"
@@ -21,6 +22,12 @@
"https://localhost:4321"
]
},
"SharePoint": {
"TenantId": "b4c2af35-bfd6-4cff-9af9-556efb53e65a",
"ClientId": "9232d9e2-9807-4753-808f-07250e5474b0",
"CertificateSettingName": "AzurePfx",
"CertificatePassword": ""
},
"TnsuPortal": {
"BaseUrl": "https://api.tnsu.kz",
"TenantId": "b4c2af35-bfd6-4cff-9af9-556efb53e65a",