nexarch/internal/moduletrust/fetch.go

package moduletrust

import (
	"context"
	"crypto/ed25519"
	"fmt"
	"io"
	"net/http"

	"gitea.perlbach24.de/scripte/nexarch/internal/httpclient"
)

// FetchJWKSFromURL baut eine KeyFetchFunc, die einen JWKS-Endpunkt (siehe
// ServeJWKS) per HTTP GET abruft und dekodiert — die uebliche Art, wie eine
// nur-pruefende Instanz (kein direkter Datenbankzugriff auf den
// Schluesselspeicher) an den oeffentlichen Schluesselsatz kommt. Der
// Aufrufer uebergibt das Ergebnis an NewVerifier; das dort konfigurierte TTL
// bestimmt, wie oft tatsaechlich abgerufen wird (nicht bei jeder Verify()).
func FetchJWKSFromURL(client *http.Client, url string) KeyFetchFunc {
	if client == nil {
		client = httpclient.Default()
	}
	return func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
		req, err := http.NewRequestWithContext(ctx, http.MethodGet, url, nil)
		if err != nil {
			return nil, fmt.Errorf("jwks-anfrage aufbauen: %w", err)
		}
		resp, err := client.Do(req)
		if err != nil {
			return nil, fmt.Errorf("jwks abrufen: %w", err)
		}
		defer resp.Body.Close()
		if resp.StatusCode != http.StatusOK {
			return nil, fmt.Errorf("jwks abrufen: status %d", resp.StatusCode)
		}
		body, err := io.ReadAll(io.LimitReader(resp.Body, 1<<20))
		if err != nil {
			return nil, fmt.Errorf("jwks-antwort lesen: %w", err)
		}
		raw, err := ParseJWKS(body)
		if err != nil {
			return nil, err
		}
		out := make(map[string]ed25519.PublicKey, len(raw))
		for kid, pub := range raw {
			if len(pub) != ed25519.PublicKeySize {
				return nil, fmt.Errorf("jwks: schluessel %q hat ungueltige laenge", kid)
			}
			out[kid] = ed25519.PublicKey(pub)
		}
		return out, nil
	}
}