dsh-webui-oauth 0.6.4 → 0.6.5

package/CHANGELOG.md

@@ -2,6 +2,32 @@
 
 本文件记录每个版本的**用户可见**变更。破坏性变更与升级动作单独标注。
 
+## 0.6.5
+
+补全 0.6.4 遗漏的路径：**SSO 登录成功后同样停在 JSON 页面上**。
+
+### 修复：SSO 登录成功也改为 302 跳转
+
+- **现象**：用 SSO 登录成功后，浏览器停在
+  `{"ok":true,"redirect":"http://…/?token=…"}` 上，不会自动进入应用。
+  （0.6.4 只改了绑定路径与失败路径，登录成功这条漏了。）
+- **原因**：同一类问题——回调端点把跳转目标放在 JSON 的 `redirect` 字段里，
+  指望前端去跳。但 OIDC 回调是浏览器主导的顶层导航，此时页面上并没有插件的 JS
+  在运行（用户是从登录页点 SSO 被 302 到 IdP、再 302 回来的），没人会去读那个字段。
+- **修复**：直接 `302` 到目标地址，并一次带两条 `Set-Cookie`（会话 + 清除一次性
+  state Cookie）。
+
+### 说明：登录页表单仍返回 JSON（这是对的）
+
+密码登录与首次初始化是登录页用 `fetch` 发起的，页面上有 JS 在跑并由它负责跳转，
+因此这两处继续返回 `{"ok":true,"redirect":…}` 是正确设计，不在本次修改范围内。
+
+### 测试
+
+- `test/oidc-integration.test.mjs` 与 `test/oidc-bind.test.mjs` 中"回调成功"的断言
+  改为校验 302 + `Location` 带 launch token，而非 JSON 字段。
+- 全量 343 项断言通过。
+
 ## 0.6.4
 
 修复 OIDC 回调结束后浏览器**停在 JSON 页面上**、需要手动回退的问题。

package/index.js

@@ -2821,12 +2821,17 @@ export async function apply(ctx) {
         // 本地用户名，拿它当身份会张冠李戴）；审计里才用 sanitizeSub 过滤后的短标识。
         const s = createSession(rawSub, ttlOf(creds))
         await auditLog(ctx, 'oidc_login_success', { username: auditName, ip: meta.ip, ua: meta.ua })
-        // 授权往返结束：同时下发会话 Cookie 并清除一次性的 state 绑定 Cookie。
-        // Set-Cookie 必须走数组（sendJson 已支持多值），否则后者会覆盖前者、
-        // 导致"登录成功却没有会话"。
-        sendJson(res, 200, { ok: true, redirect: postLoginRedirect(ctx, req) }, {
+        // 授权往返结束：直接 302 回应用，并同时下发会话 Cookie、清除一次性 state Cookie。
+        //
+        // 不能返回 {"ok":true,"redirect":...} 让前端去跳：OIDC 回调是浏览器主导的
+        // 顶层导航，此时页面上并没有我们的 JS 在运行（用户是从登录页点了 SSO 按钮
+        // 被 302 到 IdP 再 302 回来的），渲染 JSON 就停在死页面上了。
+        // Set-Cookie 必须一次带两条（会话 + 清除 state），缺任一条都会出问题。
+        res.writeHead(302, {
+          location: postLoginRedirect(ctx, req),
           'Set-Cookie': [sessionCookie(s.token, s.maxAge), clearStateCookie['Set-Cookie']],
         })
+        res.end()
       } catch (e) {
         // 这里可能带上用户可控内容（如 code 解码、payload 结构异常），
         // 若原样回显会变成反射型注入的落点，因此固定文案、细节只进服务端日志。

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-webui-oauth",
-  "version": "0.6.4",
+  "version": "0.6.5",
   "type": "module",
   "main": "index.js",
   "scripts": {