「Discourse OpenID Connect」プラグインでの開発におけるCSRFの問題

wayway_way · 2023 年 10 月 19 日午後 12:05

Discourse の SSO 設定に 5〜6 週間を費やし、その間にいくつかの問題に直面しました。現在、私を阻んでいる問題が発生しています。この問題をできるだけ詳細に記録します。

開発環境

VMware 上の Ubuntu 22
discourse 3.2.0.beta2-dev
- サーバーは 127.0.0.1:3000 で実行
- ember-cli は 127.0.0.1:4200 で実行
- 開発用 Discourse の Ubuntu または Debian へのインストール
- 無効化されたプラグイン
  - presence
  - chat
  - narrative bot
- プラグイン Discourse OpenID Connect を使用して、OIDC ベースの Keycloak に接続（Keycloak を Discourse の ID プロバイダーとして使用）
  - Discourse OpenID Connect 上の OIDC 接続設定
    - OpenID Connect 発見ドキュメント: http://127.0.0.1:8080/realms/mediawiki-realm/.well-known/openid-configuration
    - OpenID Connect クライアント ID: mydiscourse
    - OpenID Connect クライアントシークレット: O9A8zQuOn1bfpsWD89U8ULwYf6ooDu73
SSO プロバイダー Keycloak 22.0.4
- 127.0.0.1:8080 で実行
- Keycloak 上の OIDC 接続設定
  - 有効なリダイレクト URI: http://127.0.0.1:3000/auth/oidc/callback
  - クライアントシークレット: O9A8zQuOn1bfpsWD89U8ULwYf6ooDu73
Chrome バージョン 118.0.5993.70

再現手順

OIDC でログイン

Discourse が Keycloak にリダイレクトし、Keycloak でユーザー情報を入力

CSRF

ログ

//

//

//

// アプリケーショントレース

lib/middleware/omniauth_bypass_middleware.rb:53:in `call'
lib/content_security_policy/middleware.rb:12:in `call'
lib/middleware/gtm_script_nonce_injector.rb:10:in `call'
config/initializers/100-quiet_logger.rb:20:in `call'
config/initializers/100-silence_logger.rb:29:in `call'
lib/middleware/missing_avatars.rb:22:in `call'
lib/middleware/turbo_dev.rb:31:in `call'

// フレームワークトレース

omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:25:in `raise_out!'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:20:in `call'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:12:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:491:in `fail!'
/home/hardway/Downloads/omniauth-oauth2/lib/omniauth/strategies/oauth2.rb:88:in `callback_phase'
plugins/discourse-openid-connect/lib/omniauth_open_id_connect.rb:142:in `callback_phase'
omniauth (1.9.2) lib/omniauth/strategy.rb:238:in `callback_call'
omniauth (1.9.2) lib/omniauth/strategy.rb:189:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/builder.rb:45:in `call'
rack (2.2.8) lib/rack/tempfile_reaper.rb:15:in `call'
rack (2.2.8) lib/rack/conditional_get.rb:27:in `call'
rack (2.2.8) lib/rack/head.rb:12:in `call'
actionpack (7.0.7) lib/action_dispatch/http/permissions_policy.rb:38:in `call'
rack (2.2.8) lib/rack/session/abstract/id.rb:266:in `context'
rack (2.2.8) lib/rack/session/abstract/id.rb:260:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/cookies.rb:704:in `call'
activerecord (7.0.7) lib/active_record/migration.rb:603:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:27:in `block in call'
activesupport (7.0.7) lib/active_support/callbacks.rb:99:in `run_callbacks'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:26:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/actionable_exceptions.rb:17:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/debug_exceptions.rb:28:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/show_exceptions.rb:29:in `call'
logster (2.13.0) lib/logster/middleware/reporter.rb:40:in `call'
railties (7.0.7) lib/rails/rack/logger.rb:40:in `call_app'
railties (7.0.7) lib/rails/rack/logger.rb:27:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/remote_ip.rb:93:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/request_id.rb:26:in `call'
rack (2.2.8) lib/rack/method_override.rb:24:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/static.rb:23:in `call'
rack (2.2.8) lib/rack/sendfile.rb:110:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/host_authorization.rb:137:in `call'
rack-mini-profiler (3.1.1) lib/mini_profiler.rb:413:in `call'
message_bus (4.3.8) lib/message_bus/rack/middleware.rb:60:in `call'
railties (7.0.7) lib/rails/engine.rb:530:in `call'
railties (7.0.7) lib/rails/railtie.rb:226:in `public_send'
railties (7.0.7) lib/rails/railtie.rb:226:in `method_missing'
rack (2.2.8) lib/rack/urlmap.rb:74:in `block in call'
rack (2.2.8) lib/rack/urlmap.rb:58:in `each'
rack (2.2.8) lib/rack/urlmap.rb:58:in `call'
unicorn (6.1.0) lib/unicorn/http_server.rb:634:in `process_client'
unicorn (6.1.0) lib/unicorn/http_server.rb:739:in `worker_loop'
unicorn (6.1.0) lib/unicorn/http_server.rb:547:in `spawn_missing_workers'
unicorn (6.1.0) lib/unicorn/http_server.rb:143:in `start'
unicorn (6.1.0) bin/unicorn:128:in `<top (required)>'
bin/unicorn:96:in `load'
bin/unicorn:96:in `block in <main>'
bin/unicorn:95:in `fork'
bin/unicorn:95:in `<main>'

// 完全なトレース

omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:25:in `raise_out!'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:20:in `call'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:12:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:491:in `fail!'
/home/hardway/Downloads/omniauth-oauth2/lib/omniauth/strategies/oauth2.rb:88:in `callback_phase'
plugins/discourse-openid-connect/lib/omniauth_open_id_connect.rb:142:in `callback_phase'
omniauth (1.9.2) lib/omniauth/strategy.rb:238:in `callback_call'
omniauth (1.9.2) lib/omniauth/strategy.rb:189:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/builder.rb:45:in `call'
lib/middleware/omniauth_bypass_middleware.rb:53:in `call'
rack (2.2.8) lib/rack/tempfile_reaper.rb:15:in `call'
rack (2.2.8) lib/rack/conditional_get.rb:27:in `call'
rack (2.2.8) lib/rack/head.rb:12:in `call'
actionpack (7.0.7) lib/action_dispatch/http/permissions_policy.rb:38:in `call'
lib/content_security_policy/middleware.rb:12:in `call'
lib/middleware/gtm_script_nonce_injector.rb:10:in `call'
rack (2.2.8) lib/rack/session/abstract/id.rb:266:in `context'
rack (2.2.8) lib/rack/session/abstract/id.rb:260:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/cookies.rb:704:in `call'
activerecord (7.0.7) lib/active_record/migration.rb:603:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:27:in `block in call'
activesupport (7.0.7) lib/active_support/callbacks.rb:99:in `run_callbacks'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:26:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/actionable_exceptions.rb:17:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/debug_exceptions.rb:28:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/show_exceptions.rb:29:in `call'
logster (2.13.0) lib/logster/middleware/reporter.rb:40:in `call'
railties (7.0.7) lib/rails/rack/logger.rb:40:in `call_app'
railties (7.0.7) lib/rails/rack/logger.rb:27:in `call'
config/initializers/100-quiet_logger.rb:20:in `call'
config/initializers/100-silence_logger.rb:29:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/remote_ip.rb:93:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/request_id.rb:26:in `call'
rack (2.2.8) lib/rack/method_override.rb:24:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/static.rb:23:in `call'
rack (2.2.8) lib/rack/sendfile.rb:110:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/host_authorization.rb:137:in `call'
lib/middleware/missing_avatars.rb:22:in `call'
lib/middleware/turbo_dev.rb:31:in `call'
rack-mini-profiler (3.1.1) lib/mini_profiler.rb:413:in `call'
message_bus (4.3.8) lib/message_bus/rack/middleware.rb:60:in `call'
railties (7.0.7) lib/rails/engine.rb:530:in `call'
railties (7.0.7) lib/rails/railtie.rb:226:in `public_send'
railties (7.0.7) lib/rails/railtie.rb:226:in `method_missing'
rack (2.2.8) lib/rack/urlmap.rb:74:in `block in call'
rack (2.2.8) lib/rack/urlmap.rb:58:in `each'
rack (2.2.8) lib/rack/urlmap.rb:58:in `call'
unicorn (6.1.0) lib/unicorn/http_server.rb:634:in `process_client'
unicorn (6.1.0) lib/unicorn/http_server.rb:739:in `worker_loop'
unicorn (6.1.0) lib/unicorn/http_server.rb:547:in `spawn_missing_workers'
unicorn (6.1.0) lib/unicorn/http_server.rb:143:in `start'
unicorn (6.1.0) bin/unicorn:128:in `<top (required)>'
bin/unicorn:96:in `load'
bin/unicorn:96:in `block in <main>'
bin/unicorn:95:in `fork'
bin/unicorn:95:in `<main>'

考えられる理由

欲しいガイダンスやヒント

Discourse における認証の仕組みは？
Discourse はセッションをどのように利用しているか？
Discourse のメッセージング仕組み
可能であれば、直接解決策を教えてほしい

simon · 2023 年 10 月 19 日午後 7:34

無関係かもしれませんが、有効なリダイレクトURIを http://127.0.0.1:4200/auth/oidc/callback に設定すると違いはありますか？

また、現在Ubuntu/Debian開発環境で、サイトに localhost:4200 または 127.0.0.1:4200 のいずれかでアクセスできるという奇妙な現象が発生しています。これらのドメインはそれぞれ別のセッションを作成します。おそらくあなたのお困りの問題とは関係ないかもしれませんが、ローカル開発で問題を引き起こす可能性のあることかもしれません。私は常に localhost:4200 ドメインを使用しています。それが期待されていることのようです。

david · 2023 年 10 月 19 日午後 10:17

はい、これもまず最初に思いつくことだと思います。認証フローは同じポートで開始および終了することが重要です。そうしないと、セッションが異なる可能性があります。

Rails と Ember-CLI を bin/ember-cli -u で一緒に起動する場合、すべて自動的に設定されるはずです。しかし、別々に起動する場合は、すべてが正しく一致するように Rails サーバーで DISCOURSE_PORT=4200 環境を設定してください。

wayway_way · 2023 年 10 月 20 日午前 3:57

Keycloak で「無効なパラメーター: redirect_uri」と表示されました。

bin/ember-cli -u を介して Rails と Ember-CLI を一緒に起動します。

有効なリダイレクト URI を http://127.0.0.1:4200/auth/oidc/callback に設定します。

wayway_way · 2023 年 10 月 20 日午前 6:57

Keycloak の有効なリダイレクト URI と、以下の図に示されている URI との間に不一致があるようです。

画像に示されている URI は

http://127.0.0.1:8080/realms/mediawiki-realm/protocol/openid-connect/auth?client_id=mydiscourse&nonce=dce3dd8bccb09b25f88d1645d26b9d20b58e3d2ff3804f83ed79098c793a5ae2&redirect_uri=http%3A%2F%2F127.0.0.1%3A3000%2Fauth%2Foidc%2Fcallback&response_type=code&scope=openid+profile+email&state=7fd712dd2b28c8264eac170721b898b26ae8fb2edb9a2e9f

‘redirect_uri’ をデコードすると、次のようになります。

http://127.0.0.1:3000/auth/oidc/callback

実際、正しい redirect_uri は何であるべきでしょうか？

wayway_way · 2023 年 10 月 20 日午後 2:07

このプラグインの作成時に本人確認に使用されたプラットフォームを教えていただけますでしょうか。

wayway_way · 2023 年 10 月 23 日午前 3:25

ありがとうございます、うまくいきました。
私の回避策は、localhost:4200ではなく127.0.0.1:4200を使用してディスコースを開くことでした。

simon · 2023 年 10 月 28 日午前 7:34

ローカル開発については、プラグインの callback_url メソッドを編集するという、やや強引なアプローチを取りました。推奨はしませんが、以下のとおりです。discourse-openid-connect/lib/omniauth_open_id_connect.rb at main · discourse/discourse-openid-connect · GitHub

     def callback_url
        full_host = 'http://localhost:4200'
        full_host + script_name + callback_path
      end

これにより、常に http://localhost:4200/auth/oidc/callback が返されるようになります。

この変更なしでは、URL のホスト部分を http://127.0.0.1:3000 以外の値に設定する方法が見つかりませんでした。

トピック		返信	表示
OpenID Connect extension not creating new Discourse users Support	20	4573	2019 年 2 月 11 日
Redirecting from Keycloak to discourse with OIDC SSO	1	982	2021 年 12 月 16 日
Error using discourse-oauth2-basic plugin with NeonCRM SSO oauth2	28	4785	2020 年 2 月 12 日
Discourse OpenID Connect (OIDC) Plugin official , included-in-core , auth-plugins , openid-connect	48	49208	2026 年 5 月 27 日
Discourse ID fails to activate on my instance SSO discourse-id , unsupported-install	26	601	2025 年 10 月 22 日