21703: Delete unused entries in uuid_locks during trash sweep.
[arvados.git] / services / api / app / controllers / user_sessions_controller.rb
1 # Copyright (C) The Arvados Authors. All rights reserved.
2 #
3 # SPDX-License-Identifier: AGPL-3.0
4
5 class UserSessionsController < ApplicationController
6   before_action :require_auth_scope, :only => [ :destroy ]
7
8   skip_before_action :set_cors_headers
9   skip_before_action :find_object_by_uuid
10   skip_before_action :render_404_if_no_object
11
12   respond_to :html
13
14   def login
15     return send_error "Legacy code path no longer supported", status: 404
16   end
17
18   def logout
19     return send_error "Legacy code path no longer supported", status: 404
20   end
21
22   # create a new session
23   def create
24     remote, return_to_url = params[:return_to].split(',', 2)
25     if params[:provider] != 'controller' ||
26        return_to_url != 'https://controller.api.client.invalid'
27       return send_error "Legacy code path no longer supported", status: 404
28     end
29     if request.headers['Authorization'] != 'Bearer ' + Rails.configuration.SystemRootToken
30       return send_error('Invalid authorization header', status: 401)
31     end
32     if remote == ''
33       remote = nil
34     elsif remote !~ /^[0-9a-z]{5}$/
35       return send_error 'Invalid remote cluster id', status: 400
36     end
37     # arvados-controller verified the user and is passing auth_info
38     # in request params.
39     authinfo = SafeJSON.load(params[:auth_info])
40     max_expires_at = authinfo["expires_at"]
41
42     if !authinfo['user_uuid'].blank?
43       user = User.find_by_uuid(authinfo['user_uuid'])
44       if !user
45         Rails.logger.warn "Nonexistent user_uuid in authinfo #{authinfo.inspect}"
46         return redirect_to login_failure_url
47       end
48     else
49       begin
50         user = User.register(authinfo)
51       rescue => e
52         Rails.logger.warn "User.register error #{e}"
53         Rails.logger.warn "authinfo was #{authinfo.inspect}"
54         return redirect_to login_failure_url
55       end
56     end
57
58     # For the benefit of functional and integration tests:
59     @user = user
60
61     # prevent ArvadosModel#before_create and _update from throwing
62     # "unauthorized":
63     Thread.current[:user] = user
64
65     user.save or raise Exception.new(user.errors.messages)
66
67     return send_api_token_to(return_to_url, user, remote, max_expires_at)
68   end
69
70   # Omniauth failure callback
71   def failure
72     flash[:notice] = params[:message]
73   end
74
75   def send_api_token_to(callback_url, user, remote=nil, token_expiration=nil)
76     # Give the API client a token for making API calls on behalf of
77     # the authenticated user
78
79     # Stub: automatically register all new API clients
80     api_client_url_prefix = callback_url.match(%r{^.*?://[^/]+})[0] + '/'
81     act_as_system_user do
82       @api_client = ApiClient.
83         find_or_create_by(url_prefix: api_client_url_prefix)
84     end
85     if Rails.configuration.Login.TokenLifetime > 0
86       if token_expiration == nil
87         token_expiration = db_current_time + Rails.configuration.Login.TokenLifetime
88       else
89         token_expiration = [token_expiration, db_current_time + Rails.configuration.Login.TokenLifetime].min
90       end
91     end
92
93     @api_client_auth = ApiClientAuthorization.
94       new(user: user,
95           api_client: @api_client,
96           created_by_ip_address: remote_ip,
97           expires_at: token_expiration,
98           scopes: ["all"])
99     @api_client_auth.save!
100
101     if callback_url.index('?')
102       callback_url += '&'
103     else
104       callback_url += '?'
105     end
106     if remote.nil?
107       token = @api_client_auth.token
108     else
109       token = @api_client_auth.salted_token(remote: remote)
110     end
111     callback_url += 'api_token=' + token
112     redirect_to callback_url, allow_other_host: true
113   end
114
115   def cross_origin_forbidden
116     send_error 'Forbidden', status: 403
117   end
118 end