services/api/app/controllers/arvados/v1/api_client_authorizations_controller.rb

   1 # Copyright (C) The Arvados Authors. All rights reserved.
   2 #
   3 # SPDX-License-Identifier: AGPL-3.0
   4
   5 require 'safe_json'
   6
   7 class Arvados::V1::ApiClientAuthorizationsController < ApplicationController
   8   accept_attribute_as_json :scopes, Array
   9   before_action :current_api_client_is_trusted, :except => [:current]
  10   before_action :admin_required, :only => :create_system_auth
  11   skip_before_action :render_404_if_no_object, :only => [:create_system_auth, :current]
  12   skip_before_action :find_object_by_uuid, :only => [:create_system_auth, :current]
  13
  14   def self._create_system_auth_requires_parameters
  15     {
  16       api_client_id: {type: 'integer', required: false},
  17       scopes: {type: 'array', required: false}
  18     }
  19   end
  20
  21   def create_system_auth
  22     @object = ApiClientAuthorization.
  23       new(user_id: system_user.id,
  24           api_client_id: params[:api_client_id] || current_api_client.andand.id,
  25           created_by_ip_address: remote_ip,
  26           scopes: SafeJSON.load(params[:scopes] || '["all"]'))
  27     @object.save!
  28     show
  29   end
  30
  31   def create
  32     # Note: the user could specify a owner_uuid for a different user, which on
  33     # the surface appears to be a security hole.  However, the record will be
  34     # rejected before being saved to the database by the ApiClientAuthorization
  35     # model which enforces that user_id == current user or the user is an
  36     # admin.
  37
  38     if resource_attrs[:owner_uuid]
  39       # The model has an owner_id attribute instead of owner_uuid, but
  40       # we can't expect the client to know the local numeric ID. We
  41       # translate UUID to numeric ID here.
  42       resource_attrs[:user_id] =
  43         User.where(uuid: resource_attrs.delete(:owner_uuid)).first.andand.id
  44     elsif not resource_attrs[:user_id]
  45       resource_attrs[:user_id] = current_user.id
  46     end
  47     resource_attrs[:api_client_id] = Thread.current[:api_client].id
  48     super
  49   end
  50
  51   def current
  52     @object = Thread.current[:api_client_authorization]
  53     show
  54   end
  55
  56   protected
  57
  58   def default_orders
  59     ["#{table_name}.created_at desc"]
  60   end
  61
  62   def find_objects_for_index
  63     # Here we are deliberately less helpful about searching for client
  64     # authorizations.  We look up tokens belonging to the current user
  65     # and filter by exact matches on uuid, api_token, and scopes.
  66     wanted_scopes = []
  67     if @filters
  68       wanted_scopes.concat(@filters.map { |attr, operator, operand|
  69         ((attr == 'scopes') and (operator == '=')) ? operand : nil
  70       })
  71       @filters.select! { |attr, operator, operand|
  72         operator == '=' && (attr == 'uuid' || attr == 'api_token')
  73       }
  74     end
  75     if @where
  76       wanted_scopes << @where['scopes']
  77       @where.select! { |attr, val|
  78         # "where":{"uuid":"zzzzz-zzzzz-zzzzzzzzzzzzzzz"} is OK but
  79         # "where":{"api_client_id":1} is not supported
  80         # "where":{"uuid":["contains","-"]} is not supported
  81         # "where":{"uuid":["uuid1","uuid2","uuid3"]} is not supported
  82         val.is_a?(String) && (attr == 'uuid' || attr == 'api_token')
  83       }
  84     end
  85     if current_api_client_authorization.andand.api_token != Rails.configuration.SystemRootToken
  86       @objects = model_class.where('user_id=?', current_user.id)
  87     end
  88     if wanted_scopes.compact.any?
  89       # We can't filter on scopes effectively using AR/postgres.
  90       # Instead we get the entire result set, do our own filtering on
  91       # scopes to get a list of UUIDs, then start a new query
  92       # (restricted to the selected UUIDs) so super can apply the
  93       # offset/limit/order params in the usual way.
  94       @request_limit = @limit
  95       @request_offset = @offset
  96       @limit = @objects.count
  97       @offset = 0
  98       super
  99       wanted_scopes.compact.each do |scope_list|
 100         if @objects.respond_to?(:where) && scope_list.length < 2
 101           @objects = @objects.
 102                      where('scopes in (?)',
 103                            [scope_list.to_yaml, SafeJSON.dump(scope_list)])
 104         else
 105           if @objects.respond_to?(:where)
 106             # Eliminate rows with scopes=['all'] before doing the
 107             # expensive filter. They are typically the majority of
 108             # rows, and they obviously won't match given
 109             # scope_list.length>=2, so loading them all into
 110             # ActiveRecord objects is a huge waste of time.
 111             @objects = @objects.
 112                        where('scopes not in (?)',
 113                              [['all'].to_yaml, SafeJSON.dump(['all'])])
 114           end
 115           sorted_scopes = scope_list.sort
 116           @objects = @objects.select { |auth| auth.scopes.sort == sorted_scopes }
 117         end
 118       end
 119       @limit = @request_limit
 120       @offset = @request_offset
 121       @objects = model_class.where('uuid in (?)', @objects.collect(&:uuid))
 122     end
 123     super
 124   end
 125
 126   def find_object_by_uuid
 127     uuid_param = params[:uuid] || params[:id]
 128     if (uuid_param != current_api_client_authorization.andand.uuid &&
 129         !Thread.current[:api_client].andand.is_trusted)
 130       return forbidden
 131     end
 132     @limit = 1
 133     @offset = 0
 134     @orders = []
 135     @where = {}
 136     @filters = [['uuid', '=', uuid_param]]
 137     find_objects_for_index
 138     @object = @objects.first
 139   end
 140
 141   def current_api_client_is_trusted
 142     if Thread.current[:api_client].andand.is_trusted
 143       return true
 144     end
 145     # A non-trusted client can do a search for its own token if it
 146     # explicitly restricts the search to its own UUID or api_token.
 147     # Any other kind of query must return 403, even if it matches only
 148     # the current token, because that's currently how Workbench knows
 149     # (after searching on scopes) the difference between "the token
 150     # I'm using now *is* the only sharing token for this collection"
 151     # (403) and "my token is trusted, and there is one sharing token
 152     # for this collection" (200).
 153     #
 154     # The @filters test here also prevents a non-trusted token from
 155     # filtering on its own scopes, and discovering whether any _other_
 156     # equally scoped tokens exist (403=yes, 200=no).
 157     return forbidden if !@objects
 158     full_set = @objects.except(:limit).except(:offset) if @objects
 159     if (full_set.count == 1 and
 160         full_set.first.uuid == current_api_client_authorization.andand.uuid and
 161         (@filters.map(&:first) & %w(uuid api_token)).any?)
 162       return true
 163     end
 164     forbidden
 165   end
 166
 167   def forbidden
 168     send_error('Forbidden: this API client cannot manipulate other clients\' access tokens.',
 169                status: 403)
 170   end
 171 end