sysopsandClaude Sonnet 5
f224b5c9be
internal/totp/totp.go: RFC-6238-TOTP (HOTP RFC 4226) selbst implementiert mit stdlib crypto/hmac+sha1 — kein externes Modul. DefaultSkewSteps=1 dokumentiert die Zeitversatz-Toleranz (+/-30s um die Serverzeit, Akzeptanzkriterium/Pruefung 3). ProvisioningURI liefert die otpauth://-URI fuer den QR-Code (Akzeptanzkriterium 1) — das Rendering selbst ist Frontend-Sache (IAM-08). internal/totp/store.go: BeginSetup speichert ein neues Secret als NICHT bestaetigt; ConfirmSetup aktiviert 2FA erst nach einmaliger erfolgreicher Code-Eingabe (Akzeptanzkriterium 1) und erzeugt 10 Wiederherstellungscodes (nur Hash gespeichert, Klartext einmalig zurueckgegeben). VerifyLoginCode akzeptiert TOTP-Code ODER Wiederherstellungscode; consumeRecoveryCode markiert einen Code atomar als verwendet (WHERE used_at IS NULL) — kein doppeltes Einloesen moeglich (Akzeptanzkriterium 3). internal/totp/login.go: LoginWithTOTP komponiert IAM-02s LoginService, ohne ihn zu veraendern — ist 2FA fuer den Benutzer aktiv, wird ein fehlender/ falscher Code zuverlaessig abgewiesen, selbst bei korrektem Passwort (Akzeptanzkriterium 2). Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Login-Versuch ohne zweiten Faktor bei aktivem 2FA zuverlaessig abgewiesen — TestLoginWithTOTP_RequiresSecondFactorWhenEnabled: korrektes Passwort ohne Code -> ErrSecondFactorRequired, mit gueltigem Code -> Token. PASS. 2. Wiederherstellungscode nach Nutzung als verbraucht getestet — TestVerifyLoginCode_RecoveryCodeIsSingleUse: erste Nutzung erfolgreich, zweite abgelehnt. PASS. 3. Zeitversatz-Toleranz dokumentiert und getestet — TestValidate_ClockSkewTolerance: Code aus 25s Vergangenheit gueltig (innerhalb dokumentierter Toleranz), Code aus 5min Vergangenheit ungueltig. PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
43 lines
1.2 KiB
Go
43 lines
1.2 KiB
Go
package totp
|
|
|
|
import (
|
|
"context"
|
|
"errors"
|
|
|
|
"gitea.perlbach24.de/scripte/nexarch/internal/auth"
|
|
"gitea.perlbach24.de/scripte/nexarch/internal/user"
|
|
)
|
|
|
|
var ErrSecondFactorRequired = errors.New("totp: zweiter faktor erforderlich")
|
|
|
|
// LoginWithTOTP komponiert IAM-02s LoginService mit der 2FA-Pruefung, ohne
|
|
// LoginService selbst zu veraendern. Ist 2FA fuer den Benutzer aktiv, MUSS
|
|
// totpCode gueltig sein (Akzeptanzkriterium 2) — ein leerer/falscher Code
|
|
// wird zuverlaessig abgewiesen, auch bei korrektem Passwort.
|
|
func LoginWithTOTP(ctx context.Context, users *user.TenantUserStore, totpStore *Store, login *auth.LoginService, email, password, totpCode string) (token string, err error) {
|
|
creds, err := users.GetByEmailForAuth(ctx, email)
|
|
if err != nil {
|
|
return "", auth.ErrInvalidCredentials
|
|
}
|
|
|
|
enabled, err := totpStore.IsEnabled(ctx, creds.User.ID)
|
|
if err != nil {
|
|
return "", err
|
|
}
|
|
|
|
if enabled {
|
|
if totpCode == "" {
|
|
return "", ErrSecondFactorRequired
|
|
}
|
|
ok, err := totpStore.VerifyLoginCode(ctx, creds.User.ID, totpCode)
|
|
if err != nil {
|
|
return "", err
|
|
}
|
|
if !ok {
|
|
return "", ErrSecondFactorRequired
|
|
}
|
|
}
|
|
|
|
return login.Login(ctx, email, password)
|
|
}
|