nexarch/workflow/internal/bearerauth/bearerauth.go

// Package bearerauth setzt die Identitaet der Workflow-APIs aus einem
// verifizierten Core-Modul-Token. Die Handler lesen weiter X-User-Id und
// X-Tenant-Slug; die Middleware ueberschreibt beide aus den Claims, sodass ein
// Client sie nicht frei setzen kann. X-User-Role kommt nur aus dem Token.
package bearerauth

import (
	"encoding/json"
	"errors"
	"net/http"
	"strings"

	"gitea.perlbach24.de/scripte/nexarch/common/moduleauth"
)

const (
	headerUser   = "X-User-Id"
	headerTenant = "X-Tenant-Slug"
	headerRole   = "X-User-Role"
)

// Middleware verlangt fuer Anfragen mit Authorization: Bearer ein gueltiges
// Token. Ohne Bearer werden X-User-Id und X-Tenant-Slug entfernt, ausser
// allowHeaderAuth ist gesetzt (Uebergang, bis alle Clients Bearer senden).
func Middleware(v *moduleauth.Verifier, allowHeaderAuth bool, next http.Handler) http.Handler {
	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		r.Header.Del(headerRole)
		token, ok := bearer(r)
		if !ok {
			if !allowHeaderAuth {
				r.Header.Del(headerUser)
				r.Header.Del(headerTenant)
			}
			next.ServeHTTP(w, r)
			return
		}
		if v == nil {
			writeError(w, http.StatusUnauthorized, "nicht angemeldet")
			return
		}
		claims, err := v.Verify(r.Context(), token)
		if err != nil {
			if errors.Is(err, moduleauth.ErrInvalidToken) {
				writeError(w, http.StatusUnauthorized, "nicht angemeldet")
			} else {
				writeError(w, http.StatusServiceUnavailable, "identitaetsdienst nicht erreichbar")
			}
			return
		}
		r.Header.Set(headerUser, claims.Subject)
		r.Header.Set(headerTenant, claims.Tenant)
		if claims.Role != "" {
			r.Header.Set(headerRole, claims.Role)
		}
		next.ServeHTTP(w, r)
	})
}

func bearer(r *http.Request) (string, bool) {
	h := r.Header.Get("Authorization")
	if len(h) > 7 && strings.EqualFold(h[:7], "bearer ") {
		return strings.TrimSpace(h[7:]), true
	}
	return "", false
}

func writeError(w http.ResponseWriter, status int, message string) {
	w.Header().Set("Content-Type", "application/json")
	w.WriteHeader(status)
	_ = json.NewEncoder(w).Encode(map[string]string{"error": message})
}