개발 환경에서 'Discourse OpenID Connect' 플러그인의 CSRF 문제

wayway_way · 10월 19, 2023, 12:05오후

Discourse의 SSO 설정에 5~6주를 소요했으며, 이 기간 동안 몇 가지 문제를 겪었습니다. 현재 저를 막고 있는 문제가 하나 있습니다. 이 문제를 가능한 한 자세히 기록하겠습니다.

개발 환경

vmware의 ubuntu22
discourse 3.2.0.beta2-dev
- 서버는 127.0.0.1:3000에서 실행
- ember-cli는 127.0.0.1:4200에서 실행
- 개발을 위해 Ubuntu 또는 Debian에 Discourse 설치
- 비활성화된 플러그인
  - presence
  - chat
  - narrative bot
- Discourse OpenID Connect 플러그인을 사용하여 OIDC 기반으로 kecloak를 연결하며, keycloak를 discourse의 IDP(신원 제공자)로 사용
  - Discourse OpenID Connect의 OIDC 연결 설정
    - openid connect discovery document: http://127.0.0.1:8080/realms/mediawiki-realm/.well-known/openid-configuration
    - openid connect client id: mydiscourse
    - openid connect client secret: O9A8zQuOn1bfpsWD89U8ULwYf6ooDu73
sso provider keycloak 22.0.4
- 127.0.0.1:8080에서 실행
- keycloak의 OIDC 연결 설정
  - Valid redirect URIs: http://127.0.0.1:3000/auth/oidc/callback
  - Client secret: O9A8zQuOn1bfpsWD89U8ULwYf6ooDu73
chrome 버전 118.0.5993.70

재현 과정

OIDC로 로그인

Discourse가 keycloak로 리디렉션되며, keycloak에서 사용자 정보 입력

CSRF

로그

//

//

//

// Application Trace

lib/middleware/omniauth_bypass_middleware.rb:53:in `call'
lib/content_security_policy/middleware.rb:12:in `call'
lib/middleware/gtm_script_nonce_injector.rb:10:in `call'
config/initializers/100-quiet_logger.rb:20:in `call'
config/initializers/100-silence_logger.rb:29:in `call'
lib/middleware/missing_avatars.rb:22:in `call'
lib/middleware/turbo_dev.rb:31:in `call'

// Framework Trace

omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:25:in `raise_out!'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:20:in `call'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:12:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:491:in `fail!'
/home/hardway/Downloads/omniauth-oauth2/lib/omniauth/strategies/oauth2.rb:88:in `callback_phase'
plugins/discourse-openid-connect/lib/omniauth_open_id_connect.rb:142:in `callback_phase'
omniauth (1.9.2) lib/omniauth/strategy.rb:238:in `callback_call'
omniauth (1.9.2) lib/omniauth/strategy.rb:189:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/builder.rb:45:in `call'
rack (2.2.8) lib/rack/tempfile_reaper.rb:15:in `call'
rack (2.2.8) lib/rack/conditional_get.rb:27:in `call'
rack (2.2.8) lib/rack/head.rb:12:in `call'
actionpack (7.0.7) lib/action_dispatch/http/permissions_policy.rb:38:in `call'
rack (2.2.8) lib/rack/session/abstract/id.rb:266:in `context'
rack (2.2.8) lib/rack/session/abstract/id.rb:260:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/cookies.rb:704:in `call'
activerecord (7.0.7) lib/active_record/migration.rb:603:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:27:in `block in call'
activesupport (7.0.7) lib/active_support/callbacks.rb:99:in `run_callbacks'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:26:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/actionable_exceptions.rb:17:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/debug_exceptions.rb:28:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/show_exceptions.rb:29:in `call'
logster (2.13.0) lib/logster/middleware/reporter.rb:40:in `call'
railties (7.0.7) lib/rails/rack/logger.rb:40:in `call_app'
railties (7.0.7) lib/rails/rack/logger.rb:27:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/remote_ip.rb:93:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/request_id.rb:26:in `call'
rack (2.2.8) lib/rack/method_override.rb:24:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/static.rb:23:in `call'
rack (2.2.8) lib/rack/sendfile.rb:110:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/host_authorization.rb:137:in `call'
rack-mini-profiler (3.1.1) lib/mini_profiler.rb:413:in `call'
message_bus (4.3.8) lib/message_bus/rack/middleware.rb:60:in `call'
railties (7.0.7) lib/rails/engine.rb:530:in `call'
railties (7.0.7) lib/rails/railtie.rb:226:in `public_send'
railties (7.0.7) lib/rails/railtie.rb:226:in `method_missing'
rack (2.2.8) lib/rack/urlmap.rb:74:in `block in call'
rack (2.2.8) lib/rack/urlmap.rb:58:in `each'
rack (2.2.8) lib/rack/urlmap.rb:58:in `call'
unicorn (6.1.0) lib/unicorn/http_server.rb:634:in `process_client'
unicorn (6.1.0) lib/unicorn/http_server.rb:739:in `worker_loop'
unicorn (6.1.0) lib/unicorn/http_server.rb:547:in `spawn_missing_workers'
unicorn (6.1.0) lib/unicorn/http_server.rb:143:in `start'
unicorn (6.1.0) bin/unicorn:128:in `<top (required)>'
bin/unicorn:96:in `load'
bin/unicorn:96:in `block in <main>'
bin/unicorn:95:in `fork'
bin/unicorn:95:in `<main>'

// Full Trace

omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:25:in `raise_out!'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:20:in `call'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:12:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:491:in `fail!'
/home/hardway/Downloads/omniauth-oauth2/lib/omniauth/strategies/oauth2.rb:88:in `callback_phase'
plugins/discourse-openid-connect/lib/omniauth_open_id_connect.rb:142:in `callback_phase'
omniauth (1.9.2) lib/omniauth/strategy.rb:238:in `callback_call'
omniauth (1.9.2) lib/omniauth/strategy.rb:189:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/builder.rb:45:in `call'
lib/middleware/omniauth_bypass_middleware.rb:53:in `call'
rack (2.2.8) lib/rack/tempfile_reaper.rb:15:in `call'
rack (2.2.8) lib/rack/conditional_get.rb:27:in `call'
rack (2.2.8) lib/rack/head.rb:12:in `call'
actionpack (7.0.7) lib/action_dispatch/http/permissions_policy.rb:38:in `call'
lib/content_security_policy/middleware.rb:12:in `call'
lib/middleware/gtm_script_nonce_injector.rb:10:in `call'
rack (2.2.8) lib/rack/session/abstract/id.rb:266:in `context'
rack (2.2.8) lib/rack/session/abstract/id.rb:260:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/cookies.rb:704:in `call'
activerecord (7.0.7) lib/active_record/migration.rb:603:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:27:in `block in call'
activesupport (7.0.7) lib/active_support/callbacks.rb:99:in `run_callbacks'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:26:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/actionable_exceptions.rb:17:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/debug_exceptions.rb:28:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/show_exceptions.rb:29:in `call'
logster (2.13.0) lib/logster/middleware/reporter.rb:40:in `call'
railties (7.0.7) lib/rails/rack/logger.rb:40:in `call_app'
railties (7.0.7) lib/rails/rack/logger.rb:27:in `call'
config/initializers/100-quiet_logger.rb:20:in `call'
config/initializers/100-silence_logger.rb:29:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/remote_ip.rb:93:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/request_id.rb:26:in `call'
rack (2.2.8) lib/rack/method_override.rb:24:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/static.rb:23:in `call'
rack (2.2.8) lib/rack/sendfile.rb:110:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/host_authorization.rb:137:in `call'
lib/middleware/missing_avatars.rb:22:in `call'
lib/middleware/turbo_dev.rb:31:in `call'
rack-mini-profiler (3.1.1) lib/mini_profiler.rb:413:in `call'
message_bus (4.3.8) lib/message_bus/rack/middleware.rb:60:in `call'
railties (7.0.7) lib/rails/engine.rb:530:in `call'
railties (7.0.7) lib/rails/railtie.rb:226:in `public_send'
railties (7.0.7) lib/rails/railtie.rb:226:in `method_missing'
rack (2.2.8) lib/rack/urlmap.rb:74:in `block in call'
rack (2.2.8) lib/rack/urlmap.rb:58:in `each'
rack (2.2.8) lib/rack/urlmap.rb:58:in `call'
unicorn (6.1.0) lib/unicorn/http_server.rb:634:in `process_client'
unicorn (6.1.0) lib/unicorn/http_server.rb:739:in `worker_loop'
unicorn (6.1.0) lib/unicorn/http_server.rb:547:in `spawn_missing_workers'
unicorn (6.1.0) lib/unicorn/http_server.rb:143:in `start'
unicorn (6.1.0) bin/unicorn:128:in `<top (required)>'
bin/unicorn:96:in `load'
bin/unicorn:96:in `block in <main>'
bin/unicorn:95:in `fork'
bin/unicorn:95:in `<main>'

가능한 원인

얻고 싶은 가이드나 팁

discourse의 인증은 어떻게 작동하나요?
discourse는 세션을 어떻게 사용하나요?
Discourse의 메시지 전달 메커니즘
가능하면 해결책을 직접 알려주시면 좋겠습니다

simon · 10월 19, 2023, 7:34오후

아마도 관련이 없을 수도 있지만, 유효한 리다이렉트 URI를 http://127.0.0.1:4200/auth/oidc/callback으로 설정하면 차이가 있을까요?

또한, 현재 Ubuntu/Debian 개발 환경에서 사이트가 localhost:4200 또는 127.0.0.1:4200 중 어느 주소로든 접근할 수 있는 이상한 상황이 발생하고 있습니다. 이 두 도메인 각각이 별도의 세션을 생성합니다. 아마도 질문자의 문제와 직접적인 관련은 없을 것 같지만, 로컬 개발 시 문제를 일으킬 수 있는 요인일 수 있습니다. 저는 항상 localhost:4200 도메인을 사용합니다. 이것이 기대되는 동작인 것 같습니다.

david · 10월 19, 2023, 10:17오후

네, 저 역시 가장 먼저 그렇게 생각했을 겁니다. 인증 플로우가 같은 포트에서 시작되고 끝나야 하므로, 그렇지 않으면 세션이 달라질 수 있습니다.

bin/ember-cli -u를 통해 Rails와 Ember-CLI를 함께 실행하면 자동으로 설정이 적용됩니다. 하지만 별도로 시작하는 경우, 모든 것이 올바르게 정렬되도록 Rails 서버의 DISCOURSE_PORT=4200 환경 변수를 설정하는지 확인하세요.

wayway_way · 10월 20, 2023, 3:57오전

시도해 보았지만 Keycloak에 “Invalid parameter: redirect_uri” 오류가 표시됩니다.

bin/ember-cli -u 명령을 통해 Rails와 Ember-CLI를 함께 실행합니다.

유효한 리다이렉트 URI를 http://127.0.0.1:4200/auth/oidc/callback로 설정합니다.

wayway_way · 10월 20, 2023, 6:57오전

원인은 Keycloak의 유효한 리다이렉트 URI와 아래 일러스트에 표시된 URI 간의 불일치인 것으로 보입니다.

이미지에 표시된 URI는 다음과 같습니다.

http://127.0.0.1:8080/realms/mediawiki-realm/protocol/openid-connect/auth?client_id=mydiscourse&nonce=dce3dd8bccb09b25f88d1645d26b9d20b58e3d2ff3804f83ed79098c793a5ae2&redirect_uri=http%3A%2F%2F127.0.0.1%3A3000%2Fauth%2Foidc%2Fcallback&response_type=code&scope=openid+profile+email&state=7fd712dd2b28c8264eac170721b898b26ae8fb2edb9a2e9f

’ redirect_uri’를 디코딩하면 다음과 동일한 값이 됩니다.

http://127.0.0.1:3000/auth/oidc/callback

그렇다면 실제로 올바른 redirect_uri는 무엇이어야 하나요?

wayway_way · 10월 20, 2023, 2:07오후

이 플러그인을 생성하는 동안 신원 확인에 사용된 플랫폼을 알려 주시겠습니까?

wayway_way · 10월 23, 2023, 3:25오전

감사합니다. 작동합니다.
저의 우회 방법은 localhost:4200 대신 127.0.0.1:4200을 사용하여 discourse를 여는 것이었습니다.

simon · 10월 28, 2023, 7:34오전

권장하는 방법은 아니지만, 로컬 개발을 위해 플러그인의 callback_url 메서드를 다소 강하게 수정하는 방식을 채택했습니다: discourse-openid-connect/lib/omniauth_open_id_connect.rb at main · discourse/discourse-openid-connect · GitHub.

     def callback_url
        full_host = 'http://localhost:4200'
        full_host + script_name + callback_path
      end

이렇게 하면 항상 http://localhost:4200/auth/oidc/callback을 반환합니다.

해당 변경 사항이 없다면 URL의 호스트 부분을 http://127.0.0.1:3000 이외의 값으로 설정하는 방법을 찾을 수 없었습니다.

글		댓글	조회수
OpenID Connect extension not creating new Discourse users Product Support	19	4860	1월 12, 2019
Redirecting from Keycloak to discourse with OIDC SSO	1	1034	12월 16, 2021
Error using discourse-oauth2-basic plugin with NeonCRM SSO oauth2	28	5250	2월 12, 2020
Discourse OpenID Connect (OIDC) Plugin official , openid-connect , auth-plugins , included-in-core	46	51915	5월 27, 2026
Discourse ID fails to activate on my instance SSO unsupported-install , discourse-id	26	1012	10월 22, 2025