utn-mcp 0.8.1 → 0.8.2

package/README.md

@@ -120,7 +120,7 @@ utn-mcp login
 y en la config del cliente usás `"command": "utn-mcp"` sin argumentos.
 
 ### Regionales
-La regional se elige al iniciar sesión, de una lista con las regionales de la UTN. Buenos Aires (FRBA), Córdoba (FRC), Resistencia (FRRE) y Tucumán (FRT) ya están probadas. También está el aula de la Tecnicatura en Programación a distancia del SIED (TUP). El login se adapta solo: si el aula entra por SSO, sea un Keycloak propio (FRBA) u Office 365 (Haedo, FRH, y San Nicolás, FRSN), usa el SSO; si no, el login directo de Moodle. Con Office 365 todavía no se pueden completar cuentas que piden segundo factor (MFA).
+La regional se elige al iniciar sesión, de una lista con las regionales de la UTN. Buenos Aires (FRBA), Córdoba (FRC), Resistencia (FRRE) y Tucumán (FRT) ya están probadas. También está el aula de la Tecnicatura en Programación a distancia del SIED (TUP). El login se adapta solo: si el aula entra por SSO, sea un Keycloak propio (FRBA) u Office 365 (Haedo, FRH, y San Nicolás, FRSN), usa el SSO; si no, el login directo de Moodle. Si tu cuenta de Office 365 pide segundo factor (MFA), el login te pregunta con qué método seguir y te pide el código o que apruebes en el celular. Como el servidor renueva la sesión sin vos delante, con MFA te va a pedir que vuelvas a iniciar sesión cuando venza (dura semanas).
 
 La lista puede traer regionales que nadie probó todavía: su aula tiene habilitado el servicio que usa UTN-MCP, así que casi seguro anda. En un servidor hosteado, la primera persona que entra con una de esas la deja verificada para el resto. Las que no tienen el servicio habilitado aparecen como "todavía sin soporte": se pueden elegir, pero el login avisa que por ahora no se puede usar y no manda la contraseña.
 

package/build/aula-virtual/client/link.js

@@ -6,9 +6,10 @@ import { AULA_PLATFORM } from "./stored-session.js";
  * guarda la sesión (el token). La contraseña se usa solo acá: no se guarda en ningún lado.
  * Lo usan `utn-mcp login --http`, el login por OAuth de la versión hosteada y `/admin/verificar`.
  * `regional` tiene que venir con su soporte en este servidor (`availableRegionals` con las verificadas).
+ * `secondFactor` contesta el MFA de Microsoft si la cuenta lo pide.
  */
-export async function linkAulaAccount(store, regional, credentials) {
-    const token = await fetchToken(regional, credentials);
+export async function linkAulaAccount(store, regional, credentials, secondFactor) {
+    const token = await fetchToken(regional, credentials, secondFactor);
     // El token recién emitido: si falla, no hay con qué renovarlo.
     const fresh = {
         getRegional: async () => regional,

package/build/aula-virtual/client/local-session.js

@@ -31,12 +31,12 @@ export class LocalSession {
         });
         return this.refreshing;
     }
-    /** Obtiene un token nuevo y lo guarda. */
-    async login(regional, credentials) {
+    /** Obtiene un token nuevo y lo guarda. Sin `secondFactor` (al renovar solo), una cuenta con MFA no entra. */
+    async login(regional, credentials, secondFactor) {
         if (!credentials)
             throw new LoginRequiredError();
         logger.info(`Obteniendo token del aula virtual de ${regional.name}...`);
-        const token = await fetchToken(regional, credentials);
+        const token = await fetchToken(regional, credentials, secondFactor);
         await this.write({ token, obtainedAt: new Date().toISOString(), regional: regional.id });
         return token;
     }

package/build/aula-virtual/client/sso-login.js

@@ -1,4 +1,5 @@
 import { randomInt } from "node:crypto";
+import { setTimeout as sleep } from "node:timers/promises";
 import { CookieJar } from "tough-cookie";
 import { UnsupportedRegionalError } from "./regionals.js";
 import { MoodleError } from "./moodle-api.js";
@@ -38,8 +39,10 @@ const PROVIDERS = {
  *   plugin de mobile launch, que puede estar deshabilitado); si falla, flujo de launch.php.
  * Las cookies se usan solo durante el login y se descartan: las sesiones de Moodle y del SSO duran
  * horas y el token, semanas, así que no sirven para renovarlo.
+ * `secondFactor` contesta el MFA de Microsoft; sin él (las renovaciones solas), una cuenta con MFA da
+ * `MfaRequiredError`.
  */
-export async function fetchToken(regional, credentials) {
+export async function fetchToken(regional, credentials, secondFactor) {
     if (regional.support === "unsupported")
         throw new UnsupportedRegionalError(regional);
     const { baseUrl, sso } = regional;
@@ -55,14 +58,14 @@ export async function fetchToken(regional, credentials) {
     let landing = await follow(jar, launchUrl);
     if ("token" in landing)
         return landing.token;
-    const provider = sso && PROVIDERS[sso.provider];
-    const ssoHref = provider && landing.html.match(provider.link)?.[1];
-    if (sso && provider && ssoHref) {
+    const ssoProvider = sso ? PROVIDERS[sso.provider] : undefined;
+    const ssoHref = ssoProvider && landing.html.match(ssoProvider.link)?.[1];
+    if (sso && ssoProvider && ssoHref) {
         landing = await follow(jar, new URL(decodeHtml(ssoHref), landing.url).toString());
         if ("token" in landing)
             return landing.token;
         if (new URL(landing.url).host === sso.host) {
-            landing = await provider.submit(jar, landing, credentials);
+            landing = await ssoProvider.submit(jar, landing, credentials, secondFactor);
             if ("token" in landing)
                 return landing.token;
             if (new URL(landing.url).host === sso.host) {
@@ -70,7 +73,7 @@ export async function fetchToken(regional, credentials) {
                 const viaTokenPhp = await tryTokenPhp(baseUrl, credentials);
                 if (viaTokenPhp)
                     return viaTokenPhp;
-                throw new InvalidCredentialsError(provider.loginError(landing.html));
+                throw new InvalidCredentialsError(ssoProvider.loginError(landing.html));
             }
         }
     }
@@ -100,21 +103,44 @@ export async function fetchToken(regional, credentials) {
     }
     throw unexpected(landing.url);
 }
-export class MfaRequiredError extends Error {
-    constructor(reason) {
-        super("Tu cuenta de Microsoft pide un segundo factor (código, app o similar), que UTN-MCP todavía no puede " +
-            "completar solo." + (reason ? ` Microsoft dijo: ${reason}` : ""));
+/** La cuenta pide MFA y no hay quién lo conteste: pasa al renovar solo, sin el usuario delante. */
+export class MfaRequiredError extends LoginRequiredError {
+    constructor() {
+        super("Tu cuenta de Microsoft pide un segundo factor (MFA), que solo se completa al iniciar sesión: " +
+            "corré `utn-mcp login`.");
         this.name = "MfaRequiredError";
     }
 }
-/** Cantidad máxima de pasos de Microsoft entre la contraseña y la vuelta al aula (KMSI y similares). */
-const MAX_MICROSOFT_STEPS = 6;
+/** El segundo factor no se pudo completar; el mensaje dice por qué y se le puede mostrar al usuario. */
+export class MfaError extends Error {
+    constructor(message) {
+        super(message);
+        this.name = "MfaError";
+    }
+}
+/** Los `authMethodId` que se completan sin navegador: los demás (FIDO, Windows Hello) necesitan uno. */
+const MFA_METHODS = {
+    PhoneAppNotification: { kind: "approve", label: "Notificación de Microsoft Authenticator" },
+    CompanionAppsNotification: { kind: "approve", label: "Notificación de Microsoft Authenticator" },
+    PhoneAppOTP: { kind: "code", label: "Código de Microsoft Authenticator" },
+    OneWaySMS: { kind: "code", label: "Código por SMS" },
+    TwoWayVoiceMobile: { kind: "approve", label: "Llamada al celular" },
+    TwoWayVoiceAlternateMobile: { kind: "approve", label: "Llamada al celular alternativo" },
+    TwoWayVoiceOffice: { kind: "approve", label: "Llamada al teléfono de la oficina" },
+};
+/** Intentos de código antes de cortar: Microsoft también bloquea después de varios. */
+const MAX_CODE_ATTEMPTS = 3;
+/** Cada cuánto se pregunta si ya se aprobó, en milisegundos, y cuántas veces (un minuto en total). */
+const APPROVE_POLL_MS = 2_000;
+const APPROVE_POLLS = 30;
+/** Cantidad máxima de pasos de Microsoft entre la contraseña y la vuelta al aula (MFA, KMSI y similares). */
+const MAX_MICROSOFT_STEPS = 8;
 /**
  * Formulario de Office 365 (Microsoft Entra ID). No es un `<form>`: los datos están en el `$Config` de
- * la página. Después de la contraseña puede venir "¿Mantener la sesión iniciada?" antes del formulario
- * que vuelve al aula con el `code`. No completa MFA ni logins federados (ADFS).
+ * la página. Después de la contraseña pueden venir el segundo factor y "¿Mantener la sesión iniciada?"
+ * antes del formulario que vuelve al aula con el `code`. No completa logins federados (ADFS).
  */
-async function submitMicrosoftForm(jar, page, { username, password }) {
+async function submitMicrosoftForm(jar, page, { username, password }, secondFactor) {
     const ssoHost = new URL(page.url).host;
     const cfg = parseAadConfig(page.html);
     if (!cfg?.urlPost || !cfg.sFT) {
@@ -144,8 +170,12 @@ async function submitMicrosoftForm(jar, page, { username, password }) {
             return follow(jar, action, { method: "POST", body: new URLSearchParams(form.inputs) });
         }
         const step = parseAadConfig(landing.html);
-        if (step?.arrUserProofs?.length)
-            throw new MfaRequiredError(step.strServiceExceptionMessage);
+        if (step?.arrUserProofs?.length) {
+            if (!secondFactor)
+                throw new MfaRequiredError();
+            landing = await completeMfa(jar, landing, step, username, secondFactor);
+            continue;
+        }
         if (step?.sErrorCode)
             return landing;
         if (step?.urlPost) {
@@ -169,6 +199,103 @@ async function submitMicrosoftForm(jar, page, { username, password }) {
     }
     throw new Error("Demasiados pasos en el login de Microsoft.");
 }
+/**
+ * El segundo factor de Microsoft, con los mismos endpoints que usa su página: `BeginAuth` lo arranca
+ * (manda la notificación, el SMS o la llamada), `EndAuth` lo verifica (con el código, o preguntando si
+ * ya se aprobó) y `ProcessAuth` sigue el login, que vuelve a la página siguiente (KMSI o el aula).
+ */
+async function completeMfa(jar, page, cfg, username, secondFactor) {
+    const proofs = cfg.arrUserProofs ?? [];
+    const methods = proofs.flatMap(({ authMethodId: id, display }) => {
+        const known = id ? MFA_METHODS[id] : undefined;
+        return id && known ? [{ id, kind: known.kind, label: display ? `${known.label} · ${display}` : known.label }] : [];
+    });
+    if (!methods.length) {
+        const ids = proofs.map((p) => p.authMethodId).join(", ");
+        throw new MfaError(`Tu cuenta de Microsoft solo tiene métodos de segundo factor que necesitan el navegador (${ids}). ` +
+            "Agregá Microsoft Authenticator o un teléfono en https://mysignins.microsoft.com/security-info y volvé a intentar.");
+    }
+    if (!cfg.urlBeginAuth || !cfg.urlEndAuth || !cfg.urlPost) {
+        throw new Error("No se encontró el formulario del segundo factor de Microsoft; puede que haya cambiado.");
+    }
+    const preferred = proofs.find((p) => p.isDefault)?.authMethodId;
+    methods.sort((a, b) => Number(b.id === preferred) - Number(a.id === preferred));
+    const chosenId = methods.length > 1 ? await secondFactor({ step: "choose", methods }) : methods[0].id;
+    const method = methods.find((m) => m.id === chosenId);
+    if (!method)
+        throw new MfaError("Ese método de segundo factor no está entre los de tu cuenta.");
+    const sasUrl = (url) => new URL(url, page.url).toString();
+    const begin = await postSas(jar, sasUrl(cfg.urlBeginAuth), {
+        AuthMethodId: method.id,
+        Method: "BeginAuth",
+        ctx: cfg.sCtx ?? "",
+        flowToken: cfg.sFT ?? "",
+    });
+    if (!begin.Success)
+        throw new MfaError(`Microsoft no pudo arrancar el segundo factor (${begin.Message || begin.ResultValue}).`);
+    const endAuth = (extra) => postSas(jar, sasUrl(cfg.urlEndAuth), {
+        Method: "EndAuth",
+        AuthMethodId: method.id,
+        SessionId: begin.SessionId,
+        FlowToken: begin.FlowToken,
+        Ctx: begin.Ctx,
+        ...extra,
+    });
+    let end;
+    let otc = "";
+    if (method.kind === "code") {
+        for (let attempt = 0; attempt < MAX_CODE_ATTEMPTS && !end?.Success; attempt++) {
+            otc = (await secondFactor({ step: "code", method, retry: attempt > 0 })).replace(/\s/g, "");
+            end = await endAuth({ AdditionalAuthData: otc, PollCount: 1 });
+            if (!end.Success && !/incorrect|wrongcode/i.test(end.ResultValue ?? ""))
+                break;
+        }
+    }
+    else {
+        await secondFactor({ step: "approve", method, number: begin.Entropy || undefined });
+        for (let poll = 1; poll <= APPROVE_POLLS; poll++) {
+            end = await endAuth({ PollCount: poll });
+            if (end.Success || end.ResultValue !== "AuthenticationPending")
+                break;
+            await sleep(APPROVE_POLL_MS);
+        }
+    }
+    if (!end?.Success) {
+        const reason = end?.ResultValue === "AuthenticationPending" ? "no llegó la aprobación a tiempo" : end?.Message || end?.ResultValue;
+        throw new MfaError(`Microsoft no aceptó el segundo factor (${reason}). Volvé a iniciar sesión para probar de nuevo.`);
+    }
+    return follow(jar, sasUrl(cfg.urlPost), {
+        method: "POST",
+        body: new URLSearchParams({
+            request: end.Ctx ?? begin.Ctx ?? "",
+            mfaAuthMethod: method.id,
+            flowToken: end.FlowToken ?? begin.FlowToken ?? "",
+            canary: cfg.canary ?? "",
+            otc,
+            login: username,
+            hideSmsInMfaProofs: "false",
+        }),
+    });
+}
+/** POST JSON a `SAS/BeginAuth` o `SAS/EndAuth`, con las cookies del login. */
+async function postSas(jar, url, body) {
+    const cookie = await jar.getCookieString(url);
+    const res = await fetch(url, {
+        method: "POST",
+        headers: { "content-type": "application/json", accept: "application/json", ...(cookie ? { cookie } : {}) },
+        body: JSON.stringify(body),
+        signal: AbortSignal.timeout(TIMEOUT_MS),
+    });
+    for (const setCookie of res.headers.getSetCookie()) {
+        await jar.setCookie(setCookie, url, { ignoreError: true });
+    }
+    try {
+        return (await res.json());
+    }
+    catch {
+        throw new Error(`Respuesta inesperada del segundo factor de Microsoft (${res.status}).`);
+    }
+}
 /** El motivo del rechazo en una página de Microsoft (ej. AADSTS50126: usuario o contraseña incorrectos). */
 function microsoftLoginError(html) {
     const cfg = parseAadConfig(html);

package/build/aula-virtual/client/stored-session.js

@@ -1,6 +1,6 @@
 import { loadCredentials } from "./credentials.js";
 import { defaultRegional, findRegional } from "./regionals.js";
-import { fetchToken, LoginRequiredError } from "./sso-login.js";
+import { fetchToken, LoginRequiredError, MfaRequiredError } from "./sso-login.js";
 /** Con qué nombre guarda el aula su sesión en el store. */
 export const AULA_PLATFORM = "aula";
 /**
@@ -47,7 +47,9 @@ export class StoredAulaSession {
             (credentials.regional ?? defaultRegional().id) === regional.id;
         if (!credentials || !sameUser)
             throw this.loginRequired("La sesión del aula venció.");
-        const token = await fetchToken(regional, credentials);
+        const token = await fetchToken(regional, credentials).catch((e) => {
+            throw e instanceof MfaRequiredError ? this.loginRequired("Tu cuenta de Microsoft pide un segundo factor (MFA).") : e;
+        });
         // Sin `...stored`: las sesiones guardadas antes traen cookies, que ya no se usan.
         const data = { username: stored.username, token };
         await this.store.saveSession(this.userId, AULA_PLATFORM, JSON.stringify(data));

package/build/aula-virtual/login.js

@@ -22,7 +22,7 @@ export async function runLogin(http) {
     if (http)
         accessToken = await loginToStore(regional, credentials);
     else
-        await new LocalSession().login(regional, credentials);
+        await new LocalSession().login(regional, credentials, askSecondFactor);
     // Se guardan recién después de comprobar que el aula las aceptó.
     if (await saveCredentials(credentials)) {
         logger.info("Credenciales guardadas en el keychain del sistema.");
@@ -50,9 +50,21 @@ async function askRegional() {
     const labels = regionals.map((r) => r.name + SUPPORT_LABEL[r.support]);
     return regionals[await askChoice("Regional:", labels, Math.max(initial, 0))];
 }
+/** Contesta por la terminal el segundo factor de Microsoft, si la cuenta lo pide. */
+const askSecondFactor = async (prompt) => {
+    if (prompt.step === "choose") {
+        const labels = prompt.methods.map((m) => m.label);
+        return prompt.methods[await askChoice("Microsoft pide un segundo factor:", labels)].id;
+    }
+    if (prompt.step === "code") {
+        return ask(prompt.retry ? "El código no era correcto. Probá de nuevo: " : `${prompt.method.label}: `);
+    }
+    const number = prompt.number ? ` y tocá el número ${prompt.number}` : "";
+    return ask(`Aprobá el inicio de sesión en el celular (${prompt.method.label})${number}. Después apretá Enter. `);
+};
 /** Crea el usuario si no existe, guarda su sesión del aula y le emite un token que no vence. */
 async function loginToStore(regional, credentials) {
     const store = await SqliteStore.open();
-    const { userId } = await linkAulaAccount(store, regional, credentials);
+    const { userId } = await linkAulaAccount(store, regional, credentials, askSecondFactor);
     return store.issueToken(userId, { kind: "access", clientId: "local" });
 }

package/build/oauth/admin.js

@@ -2,7 +2,7 @@ import { timingSafeEqual } from "node:crypto";
 import express from "express";
 import { linkAulaAccount } from "../aula-virtual/client/link.js";
 import { availableRegionals } from "../aula-virtual/client/regionals.js";
-import { InvalidCredentialsError } from "../aula-virtual/client/sso-login.js";
+import { InvalidCredentialsError, MfaError, MfaRequiredError } from "../aula-virtual/client/sso-login.js";
 import { AULA_PLATFORM } from "../aula-virtual/client/stored-session.js";
 import { logger } from "../shared/logger.js";
 import { RateLimiter } from "./expiring.js";
@@ -108,6 +108,12 @@ export function mountAdmin(app, store, secret) {
             if (e instanceof InvalidCredentialsError) {
                 return void res.status(401).json({ error: "credenciales", motivo: "El aula rechazó el usuario o la contraseña." });
             }
+            if (e instanceof MfaRequiredError || e instanceof MfaError) {
+                return void res.status(422).json({
+                    error: "mfa",
+                    motivo: "La cuenta de Microsoft pide un segundo factor (MFA): que entre por la página de login.",
+                });
+            }
             logger.warn(`Verificación de ${username} (${regional.id}): ${e.message}`);
             res.status(502).json({ error: "aula", motivo: `No pudimos entrar al aula de ${regional.name}.` });
         }

package/build/oauth/pending-login.js

@@ -0,0 +1,33 @@
+/**
+ * Un login que queda esperando el segundo factor entre un request y otro: corre en segundo plano y,
+ * cuando le pregunta algo al usuario, `next` lo devuelve para mostrárselo en una página; `answer` le
+ * pasa lo que el usuario contestó en el request siguiente.
+ */
+export class PendingLogin {
+    run;
+    waiting = null;
+    listeners = [];
+    constructor(start) {
+        this.run = start((prompt) => new Promise((resolve) => {
+            this.waiting = { prompt, resolve };
+            for (const listener of this.listeners.splice(0))
+                listener(prompt);
+        }));
+        this.run.catch(() => { });
+    }
+    /** Espera a que el login termine o le pregunte algo al usuario. */
+    next() {
+        if (this.waiting)
+            return Promise.resolve({ prompt: this.waiting.prompt });
+        return Promise.race([
+            this.run.then((done) => ({ done })),
+            new Promise((resolve) => this.listeners.push((prompt) => resolve({ prompt }))),
+        ]);
+    }
+    /** Contesta lo que está preguntando; si no pregunta nada (un formulario mandado dos veces), no hace nada. */
+    answer(value) {
+        const waiting = this.waiting;
+        this.waiting = null;
+        waiting?.resolve(value);
+    }
+}

package/build/oauth/server.js

@@ -3,10 +3,11 @@ import express from "express";
 import { buildOAuthProtectedResourceMetadata, checkResourceAllowed, getOAuthProtectedResourceMetadataUrl, } from "@modelcontextprotocol/server";
 import { linkAulaAccount } from "../aula-virtual/client/link.js";
 import { availableRegionals, defaultRegional } from "../aula-virtual/client/regionals.js";
-import { InvalidCredentialsError } from "../aula-virtual/client/sso-login.js";
+import { InvalidCredentialsError, MfaError } from "../aula-virtual/client/sso-login.js";
 import { logger } from "../shared/logger.js";
 import { escapeHtml, page } from "../shared/pages.js";
 import { Expiring, RateLimiter } from "./expiring.js";
+import { PendingLogin } from "./pending-login.js";
 import { describeRedirect, redirectTrust } from "./redirects.js";
 /** Duración del access token, en segundos: una baja de acceso se aplica a más tardar en este tiempo. */
 const ACCESS_TTL = 60 * 60;
@@ -49,6 +50,7 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin, redirects }
     });
     const pending = new Expiring(PENDING_TTL_MS);
     const codes = new Expiring(CODE_TTL_MS);
+    const secondFactors = new Expiring(PENDING_TTL_MS);
     const limiter = new RateLimiter(LOGIN_ATTEMPTS, LOGIN_WINDOW_MS);
     const registerLimiter = new RateLimiter(REGISTER_ATTEMPTS, REGISTER_WINDOW_MS);
     const form = express.urlencoded({ extended: false, limit: "16kb" });
@@ -130,7 +132,7 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin, redirects }
         if (!request)
             return void errorPage(res, 400, "Pedido vencido", "Pasó demasiado tiempo. Volvé a conectar desde tu app.");
         const list = await regionals();
-        const retry = (error) => res.type("html").send(loginPage({
+        const retry = (res, error) => res.type("html").send(loginPage({
             action: "/authorize",
             regionals: list,
             pendingId: id,
@@ -141,23 +143,24 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin, redirects }
             error,
         }));
         if (request.unknownRedirect && req.body?.acepto !== "si") {
-            return void retry("Para conectar una app que no es un cliente conocido tenés que aceptar el aviso.");
+            return void retry(res, "Para conectar una app que no es un cliente conocido tenés que aceptar el aviso.");
         }
-        const account = await login(req, list, retry);
-        if (!account)
-            return;
-        const decision = await access({ regional: account.regional.id, username: account.username, email: account.email });
-        if (!decision.allowed)
-            return void deniedPage(res, decision.reason, decision.url);
-        pending.take(id);
-        const code = codes.add({
-            userId: account.userId,
-            clientId: request.clientId,
-            redirectUri: request.redirectUri,
-            codeChallenge: request.codeChallenge,
+        await login(req, res, list, retry, async (res, account) => {
+            const decision = await access({ regional: account.regional.id, username: account.username, email: account.email });
+            if (!decision.allowed)
+                return void deniedPage(res, decision.reason, decision.url);
+            if (!pending.take(id)) {
+                return void errorPage(res, 400, "Pedido vencido", "Pasó demasiado tiempo. Volvé a conectar desde tu app.");
+            }
+            const code = codes.add({
+                userId: account.userId,
+                clientId: request.clientId,
+                redirectUri: request.redirectUri,
+                codeChallenge: request.codeChallenge,
+            });
+            logger.info(`OAuth: ${account.username} (${account.regional.id}) autorizó a ${request.clientName ?? request.clientId}.`);
+            redirectWith(res, request.redirectUri, { code, state: request.state, iss: issuer });
         });
-        logger.info(`OAuth: ${account.username} (${account.regional.id}) autorizó a ${request.clientName ?? request.clientId}.`);
-        redirectWith(res, request.redirectUri, { code, state: request.state, iss: issuer });
     });
     app.post("/token", cors, form, express.json({ limit: "16kb" }), async (req, res) => {
         const body = (req.body ?? {});
@@ -213,54 +216,74 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin, redirects }
     app.get("/login", async (_req, res) => void res.type("html").send(loginPage({ action: "/login", regionals: await regionals() })));
     app.post("/login", sameOrigin, form, async (req, res) => {
         const list = await regionals();
-        const account = await login(req, list, (error) => res.type("html").send(loginPage({
+        const retry = (res, error) => res.type("html").send(loginPage({
             action: "/login",
             regionals: list,
             regional: req.body?.regional,
             error,
-        })));
-        if (!account)
-            return;
-        logger.info(`OAuth: ${account.username} (${account.regional.id}) renovó su sesión del aula.`);
-        res.type("html").send(page("Listo", "<p>Ya renovamos tu sesión del aula. Volvé al chat y pedile al agente que reintente.</p>"));
+        }));
+        await login(req, res, list, retry, async (res, account) => {
+            logger.info(`OAuth: ${account.username} (${account.regional.id}) renovó su sesión del aula.`);
+            res.type("html").send(page("Listo", "<p>Ya renovamos tu sesión del aula. Volvé al chat y pedile al agente que reintente.</p>"));
+        });
+    });
+    app.post("/segundo-factor", sameOrigin, form, async (req, res) => {
+        const id = String(req.body?.login ?? "");
+        const utnLogin = secondFactors.get(id);
+        if (!utnLogin)
+            return void errorPage(res, 400, "Login vencido", "Pasó demasiado tiempo. Volvé a iniciar sesión.");
+        utnLogin.flow.answer(String(req.body?.respuesta ?? ""));
+        await advance(res, utnLogin, id);
     });
     /** Entra al aula con lo que mandó el formulario; si falla, vuelve a mostrarlo con el error. */
-    async function login(req, list, retry) {
+    async function login(req, res, list, retry, finish) {
         if (!limiter.allow(req.ip ?? "desconocida")) {
-            retry("Demasiados intentos. Esperá unos minutos y probá de nuevo.");
-            return null;
+            return retry(res, "Demasiados intentos. Esperá unos minutos y probá de nuevo.");
         }
         const username = String(req.body?.usuario ?? "").trim();
         const password = String(req.body?.contrasena ?? "");
-        if (!username || !password) {
-            retry("Completá usuario y contraseña.");
-            return null;
-        }
+        if (!username || !password)
+            return retry(res, "Completá usuario y contraseña.");
         const regional = list.find((r) => r.id === String(req.body?.regional ?? ""));
-        if (!regional) {
-            retry("Elegí tu regional de la lista.");
-            return null;
-        }
+        if (!regional)
+            return retry(res, "Elegí tu regional de la lista.");
         if (regional.support === "unsupported") {
-            retry(`Todavía no hay soporte para ${regional.name}: su aula todavía no funciona con UTN-MCP.`);
-            return null;
+            return retry(res, `Todavía no hay soporte para ${regional.name}: su aula todavía no funciona con UTN-MCP.`);
         }
+        const flow = new PendingLogin((secondFactor) => linkAulaAccount(store, regional, { username, password }, secondFactor));
+        await advance(res, { flow, regional, username, retry, finish });
+    }
+    /**
+     * Sigue el login hasta que termina o pide el segundo factor: entonces muestra la página para
+     * contestarlo y lo guarda hasta la respuesta. `id` es el de un login que ya estaba esperando.
+     */
+    async function advance(res, utnLogin, id) {
+        const { flow, regional, username, retry, finish } = utnLogin;
         try {
-            return await linkAulaAccount(store, regional, { username, password });
+            const step = await flow.next();
+            if ("prompt" in step) {
+                return void res.type("html").send(secondFactorPage(id ?? secondFactors.add(utnLogin), step.prompt));
+            }
+            if (id)
+                secondFactors.take(id);
+            await finish(res, step.done);
         }
         catch (e) {
+            if (id)
+                secondFactors.take(id);
             if (e instanceof InvalidCredentialsError)
-                retry("La UTN rechazó el usuario o la contraseña.");
+                retry(res, "La UTN rechazó el usuario o la contraseña.");
+            else if (e instanceof MfaError)
+                retry(res, e.message);
             else if (regional.support === "candidate") {
                 // Nadie la había usado acá: lo más probable es que todavía no ande, no que esté caída.
                 logger.warn(`Regional ${regional.id} sin verificar, falló el login de ${username}: ${e.message}`);
-                retry(`No pudimos usar el aula de ${regional.name}: puede que todavía no ande con UTN-MCP.`);
+                retry(res, `No pudimos usar el aula de ${regional.name}: puede que todavía no ande con UTN-MCP.`);
             }
             else {
                 logger.error(`Login de ${username} (${regional.id}): ${e.message}`);
-                retry("No pudimos entrar al aula. Puede que esté caída: probá de nuevo en unos minutos.");
+                retry(res, "No pudimos entrar al aula. Puede que esté caída: probá de nuevo en unos minutos.");
             }
-            return null;
         }
     }
     return getOAuthProtectedResourceMetadataUrl(new URL(resource));
@@ -299,6 +322,28 @@ function deniedPage(res, reason, url) {
     const link = url ? `<p><a href="${escapeHtml(url)}">${escapeHtml(url)}</a></p>` : "";
     res.status(403).type("html").send(page("Sin acceso", `<p>${escapeHtml(reason)}</p>${link}`));
 }
+/** La página del segundo factor de Microsoft: elegir el método, tipear el código o avisar que ya se aprobó. */
+function secondFactorPage(id, prompt) {
+    const hidden = `<input type="hidden" name="login" value="${escapeHtml(id)}">`;
+    const formWith = (fields, button) => `<form method="post" action="/segundo-factor">${hidden}${fields}<button type="submit">${button}</button></form>`;
+    if (prompt.step === "choose") {
+        const options = prompt.methods
+            .map((m, i) => `<label class=acepto><input type="radio" name="respuesta" value="${escapeHtml(m.id)}"${i === 0 ? " checked" : ""}>` +
+            `<span>${escapeHtml(m.label)}</span></label>`)
+            .join("");
+        return page("Segundo factor", "<p>Tu cuenta de Microsoft pide un segundo factor. ¿Con cuál seguís?</p>" + formWith(options, "Seguir"));
+    }
+    if (prompt.step === "code") {
+        const error = prompt.retry ? "<p class=error>El código no era correcto. Probá de nuevo.</p>" : "";
+        const field = `<label>${escapeHtml(prompt.method.label)}<input name="respuesta" inputmode="numeric" ` +
+            `autocomplete="one-time-code" autocapitalize="none" required></label>`;
+        return page("Segundo factor", error + formWith(field, "Verificar"));
+    }
+    const number = prompt.number ? `<p>Cuando te lo pida, tocá este número:</p><p class=numero>${prompt.number}</p>` : "";
+    return page("Segundo factor", `<p>Aprobá el inicio de sesión en el celular (${escapeHtml(prompt.method.label)}).</p>` +
+        number +
+        formWith(`<input type="hidden" name="respuesta" value="ok">`, "Ya aprobé"));
+}
 function loginPage(o) {
     const where = o.redirectUri ? `<strong>${escapeHtml(describeRedirect(o.redirectUri))}</strong>` : "";
     const destination = where && !o.unknownRedirect ? ` Al terminar vas a volver a ${where}: si no es la app que estás conectando, no sigas.` : "";

package/build/server.js

@@ -7,7 +7,7 @@ import { registerAulaVirtualTools } from "./aula-virtual/tools.js";
 export function createServer(aula, files) {
     const server = new McpServer({
         name: "UTN-MCP",
-        version: "0.8.1",
+        version: "0.8.2",
     });
     registerAulaVirtualTools(server, aula, files);
     return server;

package/build/shared/pages.js

@@ -41,7 +41,8 @@ button:hover{background:var(--accent)}
 .aviso{border:1px solid var(--err);padding:0 1rem;margin:1rem 0}
 label.acepto{flex-direction:row;align-items:flex-start;gap:.6rem;font:13px/1.5 ui-sans-serif,system-ui,sans-serif;
 text-transform:none;letter-spacing:normal;color:var(--ink)}
-input[type=checkbox]{padding:0;margin:.2rem 0 0;accent-color:var(--accent)}
+input[type=checkbox],input[type=radio]{padding:0;margin:.2rem 0 0;accent-color:var(--accent)}
+.numero{margin:1rem 0;font:600 2.5rem/1 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;text-align:center}
 ul{padding-left:1.2rem}
 ::selection{background:var(--accent);color:var(--paper)}
 `.replace(/\n/g, "");

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "utn-mcp",
-  "version": "0.8.1",
+  "version": "0.8.2",
   "description": "Este es el Model Context Protocol server NO OFICIAL de la UTN para buscar informacion o archivos en el aula virtual.",
   "main": "build/index.js",
   "bin": {