Problema de CSRF em desenvolvimento com o plugin 'Discourse OpenID Connect'

wayway_way · Outubro 19, 2023, 12:05pm

Gastei cinco ou seis semanas configurando o SSO do Discourse e encontrei alguns problemas durante esse período. Agora há um problema que está me bloqueando. Vou registrar esse problema com o máximo de detalhes possível.

Ambiente de desenvolvimento

Ubuntu 22 no VMware
Discourse 3.2.0.beta2-dev
- servidor rodando em 127.0.0.1:3000
- ember-cli rodando em 127.0.0.1:4200
- Instalar o Discourse no Ubuntu ou Debian para desenvolvimento
- plugins desabilitados
  - presence
  - chat
  - narrative bot
- Uso do plugin Discourse OpenID Connect para conectar o Keycloak baseado em OIDC, com o Keycloak como provedor de identidade do Discourse
  - Configuração de conexão OIDC no Discourse OpenID Connect
    - documento de descoberta OpenID Connect: http://127.0.0.1:8080/realms/mediawiki-realm/.well-known/openid-configuration
    - ID do cliente OpenID Connect: mydiscourse
    - segredo do cliente OpenID Connect: O9A8zQuOn1bfpsWD89U8ULwYf6ooDu73
provedor SSO Keycloak 22.0.4
- rodando em 127.0.0.1:8080
- Configuração de conexão OIDC no Keycloak
  - URIs de redirecionamento válidas: http://127.0.0.1:3000/auth/oidc/callback
  - Segredo do cliente: O9A8zQuOn1bfpsWD89U8ULwYf6ooDu73
Chrome versão 118.0.5993.70

Processo de reprodução

Login com OIDC

O Discourse redireciona para o Keycloak, insira as informações do usuário no Keycloak

CSRF

Logs

//

//

//

// Rastreamento da aplicação

lib/middleware/omniauth_bypass_middleware.rb:53:in `call'
lib/content_security_policy/middleware.rb:12:in `call'
lib/middleware/gtm_script_nonce_injector.rb:10:in `call'
config/initializers/100-quiet_logger.rb:20:in `call'
config/initializers/100-silence_logger.rb:29:in `call'
lib/middleware/missing_avatars.rb:22:in `call'
lib/middleware/turbo_dev.rb:31:in `call'

// Rastreamento do framework

omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:25:in `raise_out!'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:20:in `call'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:12:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:491:in `fail!'
/home/hardway/Downloads/omniauth-oauth2/lib/omniauth/strategies/oauth2.rb:88:in `callback_phase'
plugins/discourse-openid-connect/lib/omniauth_open_id_connect.rb:142:in `callback_phase'
omniauth (1.9.2) lib/omniauth/strategy.rb:238:in `callback_call'
omniauth (1.9.2) lib/omniauth/strategy.rb:189:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/builder.rb:45:in `call'
rack (2.2.8) lib/rack/tempfile_reaper.rb:15:in `call'
rack (2.2.8) lib/rack/conditional_get.rb:27:in `call'
rack (2.2.8) lib/rack/head.rb:12:in `call'
actionpack (7.0.7) lib/action_dispatch/http/permissions_policy.rb:38:in `call'
rack (2.2.8) lib/rack/session/abstract/id.rb:266:in `context'
rack (2.2.8) lib/rack/session/abstract/id.rb:260:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/cookies.rb:704:in `call'
activerecord (7.0.7) lib/active_record/migration.rb:603:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:27:in `block in call'
activesupport (7.0.7) lib/active_support/callbacks.rb:99:in `run_callbacks'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:26:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/actionable_exceptions.rb:17:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/debug_exceptions.rb:28:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/show_exceptions.rb:29:in `call'
logster (2.13.0) lib/logster/middleware/reporter.rb:40:in `call'
railties (7.0.7) lib/rails/rack/logger.rb:40:in `call_app'
railties (7.0.7) lib/rails/rack/logger.rb:27:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/remote_ip.rb:93:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/request_id.rb:26:in `call'
rack (2.2.8) lib/rack/method_override.rb:24:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/static.rb:23:in `call'
rack (2.2.8) lib/rack/sendfile.rb:110:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/host_authorization.rb:137:in `call'
rack-mini-profiler (3.1.1) lib/mini_profiler.rb:413:in `call'
message_bus (4.3.8) lib/message_bus/rack/middleware.rb:60:in `call'
railties (7.0.7) lib/rails/engine.rb:530:in `call'
railties (7.0.7) lib/rails/railtie.rb:226:in `public_send'
railties (7.0.7) lib/rails/railtie.rb:226:in `method_missing'
rack (2.2.8) lib/rack/urlmap.rb:74:in `block in call'
rack (2.2.8) lib/rack/urlmap.rb:58:in `each'
rack (2.2.8) lib/rack/urlmap.rb:58:in `call'
unicorn (6.1.0) lib/unicorn/http_server.rb:634:in `process_client'
unicorn (6.1.0) lib/unicorn/http_server.rb:739:in `worker_loop'
unicorn (6.1.0) lib/unicorn/http_server.rb:547:in `spawn_missing_workers'
unicorn (6.1.0) lib/unicorn/http_server.rb:143:in `start'
unicorn (6.1.0) bin/unicorn:128:in `<top (required)>'
bin/unicorn:96:in `load'
bin/unicorn:96:in `block in <main>'
bin/unicorn:95:in `fork'
bin/unicorn:95:in `<main>'

// Rastreamento completo

omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:25:in `raise_out!'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:20:in `call'
omniauth (1.9.2) lib/omniauth/failure_endpoint.rb:12:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:491:in `fail!'
/home/hardway/Downloads/omniauth-oauth2/lib/omniauth/strategies/oauth2.rb:88:in `callback_phase'
plugins/discourse-openid-connect/lib/omniauth_open_id_connect.rb:142:in `callback_phase'
omniauth (1.9.2) lib/omniauth/strategy.rb:238:in `callback_call'
omniauth (1.9.2) lib/omniauth/strategy.rb:189:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/strategy.rb:192:in `call!'
omniauth (1.9.2) lib/omniauth/strategy.rb:169:in `call'
omniauth (1.9.2) lib/omniauth/builder.rb:45:in `call'
lib/middleware/omniauth_bypass_middleware.rb:53:in `call'
rack (2.2.8) lib/rack/tempfile_reaper.rb:15:in `call'
rack (2.2.8) lib/rack/conditional_get.rb:27:in `call'
rack (2.2.8) lib/rack/head.rb:12:in `call'
actionpack (7.0.7) lib/action_dispatch/http/permissions_policy.rb:38:in `call'
lib/content_security_policy/middleware.rb:12:in `call'
lib/middleware/gtm_script_nonce_injector.rb:10:in `call'
rack (2.2.8) lib/rack/session/abstract/id.rb:266:in `context'
rack (2.2.8) lib/rack/session/abstract/id.rb:260:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/cookies.rb:704:in `call'
activerecord (7.0.7) lib/active_record/migration.rb:603:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:27:in `block in call'
activesupport (7.0.7) lib/active_support/callbacks.rb:99:in `run_callbacks'
actionpack (7.0.7) lib/action_dispatch/middleware/callbacks.rb:26:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/actionable_exceptions.rb:17:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/debug_exceptions.rb:28:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/show_exceptions.rb:29:in `call'
logster (2.13.0) lib/logster/middleware/reporter.rb:40:in `call'
railties (7.0.7) lib/rails/rack/logger.rb:40:in `call_app'
railties (7.0.7) lib/rails/rack/logger.rb:27:in `call'
config/initializers/100-quiet_logger.rb:20:in `call'
config/initializers/100-silence_logger.rb:29:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/remote_ip.rb:93:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/request_id.rb:26:in `call'
rack (2.2.8) lib/rack/method_override.rb:24:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/executor.rb:14:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/static.rb:23:in `call'
rack (2.2.8) lib/rack/sendfile.rb:110:in `call'
actionpack (7.0.7) lib/action_dispatch/middleware/host_authorization.rb:137:in `call'
lib/middleware/missing_avatars.rb:22:in `call'
lib/middleware/turbo_dev.rb:31:in `call'
rack-mini-profiler (3.1.1) lib/mini_profiler.rb:413:in `call'
message_bus (4.3.8) lib/message_bus/rack/middleware.rb:60:in `call'
railties (7.0.7) lib/rails/engine.rb:530:in `call'
railties (7.0.7) lib/rails/railtie.rb:226:in `public_send'
railties (7.0.7) lib/rails/railtie.rb:226:in `method_missing'
rack (2.2.8) lib/rack/urlmap.rb:74:in `block in call'
rack (2.2.8) lib/rack/urlmap.rb:58:in `each'
rack (2.2.8) lib/rack/urlmap.rb:58:in `call'
unicorn (6.1.0) lib/unicorn/http_server.rb:634:in `process_client'
unicorn (6.1.0) lib/unicorn/http_server.rb:739:in `worker_loop'
unicorn (6.1.0) lib/unicorn/http_server.rb:547:in `spawn_missing_workers'
unicorn (6.1.0) lib/unicorn/http_server.rb:143:in `start'
unicorn (6.1.0) bin/unicorn:128:in `<top (required)>'
bin/unicorn:96:in `load'
bin/unicorn:96:in `block in <main>'
bin/unicorn:95:in `fork'
bin/unicorn:95:in `<main>'

Possível motivo

Orientações ou dicas que desejo obter

Como funciona a autenticação no Discourse?
Como o Discourse utiliza sessões?
Mecanismo de mensagens do Discourse
Seria ideal se você pudesse me informar diretamente a solução

simon · Outubro 19, 2023, 7:34pm

Possivelmente não relacionado, mas definir os URIs de redirecionamento válidos para http://127.0.0.1:4200/auth/oidc/callback faz alguma diferença?

Além disso, há algo estranho acontecendo no ambiente de desenvolvimento Ubuntu/Debian onde o site pode ser acessado em localhost:4200 ou 127.0.0.1:4200. Cada um desses domínios cria uma sessão separada. Provavelmente não relacionado ao seu problema, mas talvez algo que possa causar problemas para o desenvolvimento local. Eu sempre uso o domínio localhost:4200. Parece ser o que é esperado.

david · Outubro 19, 2023, 10:17pm

Sim, esse seria meu primeiro palpite também. É importante que o fluxo de autenticação comece e termine na mesma porta, caso contrário, a sessão pode ser diferente.

Se você inicializar o Rails e o Ember-CLI juntos via bin/ember-cli -u, tudo deverá ser configurado automaticamente para você. Mas se você estiver iniciando-os separadamente, certifique-se de definir o ambiente DISCOURSE_PORT=4200 no servidor Rails para que tudo se alinhe corretamente.

wayway_way · Outubro 20, 2023, 3:57am

Tentei, mas “Parâmetro inválido: redirect_uri” aparece no Keycloak.

Inicialize Rails e Ember-CLI juntos via bin/ember-cli -u

Defina os URIs de redirecionamento válidos como http://127.0.0.1:4200/auth/oidc/callback.

wayway_way · Outubro 20, 2023, 6:57am

Parece que a causa é uma discrepância entre os URIs de redirecionamento válidos no Keycloak e os URIs retratados na seguinte ilustração.

O URI retratado na imagem é

http://127.0.0.1:8080/realms/mediawiki-realm/protocol/openid-connect/auth?client_id=mydiscourse&nonce=dce3dd8bccb09b25f88d1645d26b9d20b58e3d2ff3804f83ed79098c793a5ae2&redirect_uri=http%3A%2F%2F127.0.0.1%3A3000%2Fauth%2Foidc%2Fcallback&response_type=code&scope=openid+profile+email&state=7fd712dd2b28c8264eac170721b898b26ae8fb2edb9a2e9f

Após decodificar o ‘redirect_uri’, sua equivalência a

http://127.0.0.1:3000/auth/oidc/callback

O que, de fato, deveria ser o redirect_uri correto?

wayway_way · Outubro 20, 2023, 2:07pm

Você seria tão gentil de divulgar a plataforma utilizada para verificação de identidade durante a criação deste plugin?

wayway_way · Outubro 23, 2023, 3:25am

Obrigado, funcionou.
Minha solução alternativa foi abrir o discourse usando 127.0.0.1:4200 em vez de localhost:4200

simon · Outubro 28, 2023, 7:34am

Não estou recomendando, mas para desenvolvimento local adotei a abordagem um tanto brutal de editar o método callback_url do plugin: discourse-openid-connect/lib/omniauth_open_id_connect.rb at main · discourse/discourse-openid-connect · GitHub.

     def callback_url
        full_host = 'http://localhost:4200'
        full_host + script_name + callback_path
      end

Dessa forma, ele sempre retorna http://localhost:4200/auth/oidc/callback

Sem essa alteração, não consegui encontrar uma maneira de fazer a parte do host da URL ser definida como qualquer coisa diferente de http://127.0.0.1:3000

Tópico		Respostas	Visualizações
OpenID Connect extension not creating new Discourse users Support	20	4569	11 de Fevereiro de 2019
Redirecting from Keycloak to discourse with OIDC SSO	1	977	16 de Dezembro de 2021
Discourse OpenID Connect (OIDC) Plugin official , included-in-core , auth-plugins , openid-connect	47	49047	14 de Maio de 2026
Error using discourse-oauth2-basic plugin with NeonCRM SSO oauth2	28	4768	12 de Fevereiro de 2020
Discourse ID fails to activate on my instance SSO discourse-id , unsupported-install	26	596	22 de Outubro de 2025