@aplons/auth 0.1.0

package/dist/verify.d.ts

@@ -0,0 +1,26 @@
+/**
+ * Ein Token prüfen, statt ihm zu glauben.
+ *
+ * Ein JWT ist lesbar, ohne dass jemand etwas prüft — `atob` auf den mittleren
+ * Teil, fertig. Wer das für eine Prüfung hält, lässt jeden herein, der sich
+ * ein Token selbst schreibt. Geprüft wird deshalb die Unterschrift gegen die
+ * öffentlichen Schlüssel von Aplons, dazu Aussteller, Empfänger und Ablauf.
+ *
+ * `jose` erledigt das Kryptografische. Es ist die einzige Abhängigkeit dieses
+ * Pakets, und es ist dieselbe, die der Aplons-Server selbst benutzt.
+ */
+import { createRemoteJWKSet } from "jose";
+import type { AccessTokenClaims, IdTokenClaims } from "./types.js";
+type Schluesselquelle = ReturnType<typeof createRemoteJWKSet>;
+export declare function schluesselFuer(jwksUri: string): Schluesselquelle;
+export declare function pruefeZugriffstoken(token: string, options: {
+    issuer: string;
+    schluessel: Schluesselquelle;
+}): Promise<AccessTokenClaims>;
+export declare function pruefeIdToken(token: string, options: {
+    issuer: string;
+    audience: string;
+    nonce?: string;
+    schluessel: Schluesselquelle;
+}): Promise<IdTokenClaims>;
+export {};

package/dist/verify.js

@@ -0,0 +1,94 @@
+/**
+ * Ein Token prüfen, statt ihm zu glauben.
+ *
+ * Ein JWT ist lesbar, ohne dass jemand etwas prüft — `atob` auf den mittleren
+ * Teil, fertig. Wer das für eine Prüfung hält, lässt jeden herein, der sich
+ * ein Token selbst schreibt. Geprüft wird deshalb die Unterschrift gegen die
+ * öffentlichen Schlüssel von Aplons, dazu Aussteller, Empfänger und Ablauf.
+ *
+ * `jose` erledigt das Kryptografische. Es ist die einzige Abhängigkeit dieses
+ * Pakets, und es ist dieselbe, die der Aplons-Server selbst benutzt.
+ */
+import { createRemoteJWKSet, jwtVerify } from "jose";
+import { AplonsError } from "./errors.js";
+/*
+  Eine Schlüsselquelle je Adresse, nicht je Aufruf.
+
+  `createRemoteJWKSet` bringt einen eigenen Zwischenspeicher mit und holt bei
+  einem unbekannten `kid` neu — das ist genau das Verhalten, das einen
+  Schlüsselwechsel überlebt. Für jeden Aufruf eine neue Quelle anzulegen
+  hieße, den Zwischenspeicher wegzuwerfen und bei jeder Anfrage die
+  Schlüssel erneut zu laden.
+*/
+const quellen = new Map();
+export function schluesselFuer(jwksUri) {
+    let quelle = quellen.get(jwksUri);
+    if (!quelle) {
+        quelle = createRemoteJWKSet(new URL(jwksUri));
+        quellen.set(jwksUri, quelle);
+    }
+    return quelle;
+}
+export async function pruefeZugriffstoken(token, options) {
+    try {
+        const { payload } = await jwtVerify(token, options.schluessel, {
+            issuer: options.issuer,
+            // Bewusst ohne `audience`: ein Zugriffstoken ist an die Anwendung
+            // gerichtet, die es benutzt, und die kann eine andere sein als die,
+            // die es geholt hat. Wer das enger fassen will, prüft `aud` selbst.
+        });
+        return payload;
+    }
+    catch (cause) {
+        throw alsFehler(cause, "Das Zugriffstoken");
+    }
+}
+export async function pruefeIdToken(token, options) {
+    let claims;
+    try {
+        const { payload } = await jwtVerify(token, options.schluessel, {
+            issuer: options.issuer,
+            // Hier schon: ein ID-Token ist an genau diese Anwendung gerichtet.
+            // Eines, das für eine andere ausgestellt wurde, darf nicht zählen.
+            audience: options.audience,
+        });
+        claims = payload;
+    }
+    catch (cause) {
+        throw alsFehler(cause, "Das ID-Token");
+    }
+    /*
+      Der Nonce bindet das ID-Token an genau diesen Anmeldevorgang.
+  
+      Ohne ihn ließe sich ein früher abgefangenes, noch gültiges ID-Token in
+      einem neuen Vorgang einreichen. Geprüft wird nur, wenn beim Start einer
+      gesetzt wurde — sonst gäbe es nichts zu vergleichen.
+    */
+    if (options.nonce && claims.nonce !== options.nonce) {
+        throw new AplonsError({
+            code: "nonce_mismatch",
+            message: "Der nonce im ID-Token gehört nicht zu diesem Anmeldevorgang. " +
+                "Die Anmeldung wird nicht fortgesetzt.",
+        });
+    }
+    return claims;
+}
+function alsFehler(cause, was) {
+    const code = cause && typeof cause === "object" && "code" in cause
+        ? String(cause.code)
+        : "invalid_token";
+    const erklaerung = {
+        ERR_JWT_EXPIRED: "ist abgelaufen. Erneuere es mit dem Refresh-Token.",
+        ERR_JWT_CLAIM_VALIDATION_FAILED: "wurde für einen anderen Aussteller oder Empfänger ausgestellt.",
+        ERR_JWS_SIGNATURE_VERIFICATION_FAILED: "trägt keine gültige Unterschrift von Aplons.",
+        ERR_JOSE_NOT_SUPPORTED: "benutzt ein Verfahren, das hier nicht zugelassen ist — bei " +
+            '`alg: "none"` ist das ein selbst geschriebenes Token ohne Unterschrift.',
+        ERR_JWKS_NO_MATCHING_KEY: "ist mit einem Schlüssel unterschrieben, den Aplons nicht kennt. " +
+            "Bei einem gerade gewechselten Schlüssel hilft ein zweiter Versuch.",
+    };
+    return new AplonsError({
+        code,
+        cause,
+        message: `${was} ${erklaerung[code] ?? "ist nicht gültig."}`,
+    });
+}

package/package.json

@@ -0,0 +1,43 @@
+{
+  "name": "@aplons/auth",
+  "version": "0.1.0",
+  "description": "Anmeldung über Aplons in eigenen Anwendungen — OAuth 2.1 mit PKCE, ohne den Ablauf selbst zu schreiben.",
+  "license": "UNLICENSED",
+  "private": false,
+  "type": "module",
+  "sideEffects": false,
+  "engines": {
+    "node": ">=18"
+  },
+  "files": [
+    "dist",
+    "README.md"
+  ],
+  "exports": {
+    ".": {
+      "types": "./dist/index.d.ts",
+      "default": "./dist/index.js"
+    },
+    "./next": {
+      "types": "./dist/next.d.ts",
+      "default": "./dist/next.js"
+    }
+  },
+  "scripts": {
+    "build": "rm -rf dist && tsc -p tsconfig.json",
+    "prepublishOnly": "pnpm build"
+  },
+  "dependencies": {
+    "jose": "^6.1.0"
+  },
+  "devDependencies": {
+    "typescript": "^5"
+  },
+  "keywords": [
+    "oauth",
+    "oidc",
+    "pkce",
+    "authentication",
+    "aplons"
+  ]
+}