nexarch/common/moduleauth/middleware.go

package moduleauth

import (
	"context"
	"encoding/json"
	"errors"
	"net/http"
	"strings"
)

// Identity ist die aus einem gueltigen Modul-Token gewonnene Identitaet.
// Der Mandant kommt ausschliesslich hieraus, nie aus einem Anfrageparameter
// (INT-18, Befund F-20: Mail-API las den Mandanten bisher aus "?tenant=").
type Identity struct {
	UserID string
	Tenant string
	Role   string
}

type identityKey struct{}

func WithIdentity(ctx context.Context, id Identity) context.Context {
	return context.WithValue(ctx, identityKey{}, id)
}

func IdentityFrom(ctx context.Context) (Identity, bool) {
	id, ok := ctx.Value(identityKey{}).(Identity)
	return id, ok
}

type errorResponse struct {
	Error string `json:"error"`
}

func writeError(w http.ResponseWriter, status int, message string) {
	w.Header().Set("Content-Type", "application/json")
	w.WriteHeader(status)
	_ = json.NewEncoder(w).Encode(errorResponse{Error: message})
}

// RequireAuth verlangt ein gueltiges Modul-Token (Bearer) fuer next. Es gibt
// hier bewusst keinen "caller"-Uebergangsmodus wie im DMS: die Mail-API war
// bislang nirgends verdrahtet (kein cmd/-Aufrufer), es gibt also keinen
// bestehenden Client, dessen Kompatibilitaet zu wahren waere.
func RequireAuth(v *Verifier, next http.Handler) http.HandlerFunc {
	return func(w http.ResponseWriter, r *http.Request) {
		token, ok := bearer(r)
		if !ok {
			writeError(w, http.StatusUnauthorized, "nicht angemeldet")
			return
		}
		if v == nil {
			writeError(w, http.StatusUnauthorized, "nicht angemeldet")
			return
		}
		claims, err := v.Verify(r.Context(), token)
		if err != nil {
			if errors.Is(err, ErrInvalidToken) {
				writeError(w, http.StatusUnauthorized, "nicht angemeldet")
			} else {
				writeError(w, http.StatusServiceUnavailable, "identitaetsdienst nicht erreichbar")
			}
			return
		}
		id := Identity{UserID: claims.Subject, Tenant: claims.Tenant, Role: claims.Role}
		next.ServeHTTP(w, r.WithContext(WithIdentity(r.Context(), id)))
	}
}

func bearer(r *http.Request) (string, bool) {
	h := r.Header.Get("Authorization")
	if len(h) > 7 && strings.EqualFold(h[:7], "bearer ") {
		return strings.TrimSpace(h[7:]), true
	}
	return "", false
}