Hola a todos,
Estamos intentando hacer que Discourse funcione con un punto final de SSO externo, pero no logramos que la firma coincida.
Los registros muestran:
[2020-12-23 21:10:50 +0000] [7] [DEBUG] 2d9c3e07e2e7551e51af471ca3b50e83d06411b2c75e443f96def5b6a257d141
[2020-12-23 21:10:50 +0000] [7] [DEBUG] ad02fdc5bd85adce7722bc264352cca9b931392735ed72474966c4461f188b8c
[2020-12-23 21:10:50 +0000] [7] [DEBUG] compare_digest es diferente
¿Qué estamos haciendo mal? ¿La preparación de HMAC parece correcta?
endpoint:
@app.route(/discourse)
def discourse():
try:
cookie = request.cookies['__session']
except KeyError:
logging.error("La cookie de sesión no estaba presente")
return redirect(login_url)
try:
decoded_token = verify_session_cookie(cookie, check_revoked=True)
except ValueError:
return {"message": "La cookie de sesión estaba presente pero no era una cadena válida o estaba vacía"}, 400
except ExpiredSessionCookieError:
return {"message": "La cookie de sesión estaba presente pero había expirado."}, 400
try:
uid = decoded_token['uid']
except KeyError:
return {"message": "No se pudo leer el ID de usuario del token decodificado"}, 500
try:
payload = request.args['sso']
except KeyError:
return {"message": "El parámetro de carga útil no estaba presente"}, 400
try:
sig = request.args['sig']
except KeyError:
return {"message": "El parámetro de firma no estaba presente"}, 400
try:
nonce = validate_sso_and_generate_nonce(payload, sig, sso_secret)
except DiscourseError as e:
current_app.logger.error("falló la validación de SSO: " + str(e))
return redirect(login_url)
user = get_user(uid)
sso_url = generate_sso_redirect_url(forum_url, nonce, sso_secret, user.email, uid, user.display_name, user.display_name)
current_app.logger.debug("Punto final de Discourse completado")
return redirect(sso_url)
Donde generamos la firma:
def validate_sso_and_generate_nonce(payload, signature, secret):
"""
payload: proporcionado por la llamada HTTP de Discourse a tu punto final de SSO como parámetro GET sso
signature: proporcionado por la llamada HTTP de Discourse a tu punto final de SSO como parámetro GET sig
secret: la clave secreta que ingresaste en el secreto de SSO de Discourse
valor de retorno: El nonce utilizado por Discourse para validar la URL de redirección
"""
if None in [payload, signature]:
raise DiscourseError('No hay carga útil de SSO ni firma.')
if not secret:
raise DiscourseError('Secreto inválido..')
if not payload:
raise DiscourseError('Carga útil inválida..')
payload = bytes(parse.unquote(payload), encoding='utf-8')
decoded = base64.decodestring(payload).decode('utf-8')
if len(payload) == 0 or 'nonce' not in decoded:
raise DiscourseError('Carga útil inválida..')
h = hmac.new(base64.b64encode(bytes(secret, encoding='utf-8')), payload, digestmod=hashlib.sha256)
this_signature = h.hexdigest()
current_app.logger.debug(this_signature)
current_app.logger.debug(signature)
#if this_signature != signature:
# raise DiscourseError('La carga útil no coincide con la firma.')
if not hmac.compare_digest(this_signature, signature):
current_app.logger.debug("compare_digest es diferente")
nonce = decoded.split('=')[1]
return nonce