dsh-webui-oauth 0.6.0 → 0.6.1

package/CHANGELOG.md

@@ -2,6 +2,36 @@
 
 本文件记录每个版本的**用户可见**变更。破坏性变更与升级动作单独标注。
 
+## 0.6.1
+
+修复 OIDC 配置保存被误拒、以及设置页看不到回调地址的问题。
+
+### 修复：再次保存 OIDC 配置总是失败
+
+- **现象**：改完 issuer / scope / Redirect Base 点保存，返回
+  `{"ok":false,"error":"oidc-invalid","reason":"clientSecret 须为非空字符串"}`，配置存不下去。
+- **原因**：设置页的 clientSecret 输入框每次打开都是空的（密钥不回传前端，这是有意的），
+  而服务端把"空串"也当成非法值拒掉——与它自己「留空保留原值」的语义、以及界面提示直接矛盾。
+- **修复**：空串/全空白按"未提供"处理，保留原值；只有**类型不对**才拒绝。
+  同时补上真正的边界：**首次启用**（此前没有 secret）时留空仍然拒绝并说明原因，
+  避免存下一个没有 secret 的配置、之后表现为莫名其妙的 `oidc-not-configured`。
+
+### 新增：设置页显示回调地址
+
+- 原生 OIDC 要求 `redirect_uri` 与 IdP 登记值**精确匹配**，少一个字符都会被拒。
+  此前界面只给路径常量，部署者得自己拼出完整地址（含 scheme/host/port）才能登记。
+- 现在设置页在 Redirect Base 下方直接给出**完整回调地址**（如
+  `https://dsh.example.com/dsh-webui-oauth/oidc/callback`），可原样抄进 IdP；
+  未填 Redirect Base 也无 `publicBaseUrl` 时，明确提示"无法确定"而不是猜一个错的。
+- `/status` 新增 `oidc.redirectUri` 与 `oidc.callbackPath`。
+
+### 测试
+
+- `test/oidc-bind.test.mjs` 扩充到 35 项：覆盖"首次启用须填 secret"、"再次保存留空被接受
+  且保留原值"、"留空不得清成空串"、"secret 类型错误仍拒绝"、"回调地址为完整 URL"、
+  "无法确定时返回 null 不猜"。
+- 全量 324 项断言通过。
+
 ## 0.6.0
 
 新增 **OIDC 身份绑定**：配置 OIDC 不再等于谁都能登录，必须显式绑定一个 IdP 身份。

package/index.js

@@ -2036,6 +2036,36 @@ export async function apply(ctx) {
     const r = await readOidcConfig(ctx, creds)
     return r.oidc
   }
+
+  /**
+   * 算出「本部署的 OIDC 回调地址」，供设置页展示、供部署者填进 IdP 的允许列表。
+   *
+   * 原生 OIDC 要求 redirect_uri 与登记值**精确匹配**（含 scheme/host/port），
+   * 少一个字符都会被 IdP 拒绝，所以必须把完整地址明确告诉部署者，不能只给路径。
+   *
+   * 取值优先级与实际授权流程一致（见 startOidcAuthorize）：
+   *   1. oidc.redirectBase —— 部署者显式声明，反代场景下的确定性答案；
+   *   2. remote-web-ui.publicBaseUrl —— 同一份配置的复用；
+   *   3. 都没有 → 返回 null，前端提示"需先填 Redirect Base 或 publicBaseUrl"。
+   * 这里【不做】浏览器 origin 推断：设置页是服务端渲染时算的，拿不到将来的请求 Host，
+   * 猜一个反而会让人把错的地址填进 IdP。
+   *
+   * @returns {string|null} 形如 https://dsh.example.com/dsh-webui-oauth/oidc/callback
+   */
+  function resolveOidcRedirectUri(ctx2, oidcCfg) {
+    try {
+      let base = null
+      if (oidcCfg && typeof oidcCfg.redirectBase === 'string' && oidcCfg.redirectBase.trim()) {
+        base = oidcCfg.redirectBase.trim()
+      } else {
+        base = configuredOrigin(ctx2)
+      }
+      if (!base) return null
+      return base.replace(/\/$/, '') + OIDC_CALLBACK_PATH
+    } catch (e) {
+      return null
+    }
+  }
   async function oidcEnabled(creds) {
     const o = await oidcOf(creds)
     return !!(o && o.enabled === true && typeof o.issuer === 'string' && typeof o.clientId === 'string' && typeof o.clientSecret === 'string')
@@ -2237,8 +2267,13 @@ export async function apply(ctx) {
                 trustBrowserOrigin: oidcCfg.trustBrowserOrigin !== false,
                 bound: isOidcBound(creds),
                 boundSubHint: isOidcBound(creds) ? maskSubForDisplay(boundSubOf(creds)) : null,
+                // 提供给 IdP 登记用的确切回调地址。原生 OIDC 要求 redirect_uri 精确匹配，
+                // 部署者必须把它抄进 IdP 的允许列表，因此这里直接算好给他。
+                // 不能只给路径：IdP 侧需要完整的 scheme + host + port。
+                redirectUri: resolveOidcRedirectUri(ctx, oidcCfg),
+                callbackPath: OIDC_CALLBACK_PATH,
               }
-            : { enabled: false, bound: isOidcBound(creds), boundSubHint: isOidcBound(creds) ? maskSubForDisplay(boundSubOf(creds)) : null },
+            : { enabled: false, bound: isOidcBound(creds), boundSubHint: isOidcBound(creds) ? maskSubForDisplay(boundSubOf(creds)) : null, redirectUri: null, callbackPath: OIDC_CALLBACK_PATH },
         })
       } catch (e) {
         sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
@@ -2344,11 +2379,27 @@ export async function apply(ctx) {
             sendJson(res, 200, { ok: false, error: 'oidc-invalid', reason: 'trustBrowserOrigin 须为 boolean' })
             return
           }
-          if (oidcIn.clientSecret !== undefined && (typeof oidcIn.clientSecret !== 'string' || !oidcIn.clientSecret.trim())) {
-            await auditLog(ctx, 'configure_failure', { username, ip: meta.ip, ua: meta.ua, detail: 'OIDC 配置：clientSecret 须为非空字符串（或留空保留旧值）' })
-            sendJson(res, 200, { ok: false, error: 'oidc-invalid', reason: 'clientSecret 须为非空字符串' })
+          // clientSecret：留空表示「保留原值」（见下方合并逻辑与 UI 提示）。
+          // 早先这里把空串也当非法值拒掉，导致"第二次保存配置"必然失败——
+          // 而设置页的输入框每次打开都是空的（secret 不回传前端），
+          // 于是「改了 issuer/scope 再保存」这条路根本走不通，用户只能反复重填 secret。
+          // 只有【类型不对】才算非法；空串/全空白按"未提供"处理。
+          if (oidcIn.clientSecret !== undefined && typeof oidcIn.clientSecret !== 'string') {
+            await auditLog(ctx, 'configure_failure', { username, ip: meta.ip, ua: meta.ua, detail: 'OIDC 配置：clientSecret 须为字符串' })
+            sendJson(res, 200, { ok: false, error: 'oidc-invalid', reason: 'clientSecret 须为字符串' })
             return
           }
+          // 首次配置（尚无旧 secret）时必须提供：否则会存下一个没有 secret 的配置，
+          // oidcEnabled() 判定为未启用，用户会看到莫名其妙的 oidc-not-configured。
+          if (oidcIn.enabled === true && !String(oidcIn.clientSecret || '').trim()) {
+            const prev = (await readOidcConfig(ctx, creds)).oidc
+            const hasPrev = !!(prev && typeof prev.clientSecret === 'string' && prev.clientSecret.trim())
+            if (!hasPrev) {
+              await auditLog(ctx, 'configure_failure', { username, ip: meta.ip, ua: meta.ua, detail: 'OIDC 配置：首次启用必须提供 clientSecret' })
+              sendJson(res, 200, { ok: false, error: 'oidc-invalid', reason: '首次启用 OIDC 必须填写 clientSecret' })
+              return
+            }
+          }
         }
         // 合并 OIDC 配置：oidcIn 提供时整段替换（secret 留空则保留旧值）；否则关闭。
         let oidcOut = null

package/lib/client.js

@@ -86,6 +86,9 @@ window.__ModuleLoader__.load({
 				const [oidcBoundHint, setOidcBoundHint] = react.useState('');
 				const [unbindPw, setUnbindPw] = react.useState('');
 				const [bindMsg, setBindMsg] = react.useState(null);
+				// 服务端算好的完整回调地址（含 scheme/host/port）。原生 OIDC 要求
+				// redirect_uri 与 IdP 登记值精确匹配，少一个字符都会被拒，所以要显示全。
+				const [oidcRedirectUri, setOidcRedirectUri] = react.useState('');
 
 				react.useEffect(() => {
 					let alive = true;
@@ -107,6 +110,7 @@ window.__ModuleLoader__.load({
 							if (o && o.redirectBase) setOidcRedirectBase(o.redirectBase);
 							setOidcBound(!!(o && o.bound));
 							setOidcBoundHint((o && o.boundSubHint) || '');
+							setOidcRedirectUri((o && o.redirectUri) || '');
 						}
 					});
 					load();
@@ -401,6 +405,16 @@ window.__ModuleLoader__.load({
 							react.createElement('label', { className: 'wua-label' }, 'Redirect Base（可选；反代重写 Host 时必填，如 https://dsh.example.com）'),
 							react.createElement('input', { className: 'wua-input', type: 'text', value: oidcRedirectBase, spellCheck: false, onChange: (e) => setOidcRedirectBase(e.target.value) }),
 						),
+						// 回调地址：给部署者抄进 IdP 的允许列表用。
+						// 原生 OIDC 要求精确匹配，必须显示完整地址（含协议与端口）。
+						react.createElement('div', { className: 'wua-row' },
+							react.createElement('label', { className: 'wua-label' }, '回调地址（填入 IdP 的 Redirect URI 允许列表，须精确匹配）'),
+							oidcRedirectUri
+								? react.createElement('p', { className: 'wua-hint', style: { borderTop: 'none', paddingTop: 0, wordBreak: 'break-all' } },
+									react.createElement('code', null, oidcRedirectUri))
+								: react.createElement('p', { className: 'wua-warn' },
+									'无法确定回调地址：请先填写上方 Redirect Base（或在本插件的 remote-web-ui 设置里配置 publicBaseUrl）。'),
+						),
 						react.createElement('div', { className: 'wua-row' },
 							react.createElement('label', { className: 'wua-label' },
 								react.createElement('input', { type: 'checkbox', checked: oidcTrustBrowser, onChange: (e) => setOidcTrustBrowser(e.target.checked) }),

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-webui-oauth",
-  "version": "0.6.0",
+  "version": "0.6.1",
   "type": "module",
   "main": "index.js",
   "scripts": {