florian.wildeandClaude Sonnet 5
32ef93ae8e
Dritte Login-Methode neben Passwort und Passkey, konfiguriert über OIDC_ISSUER/OIDC_CLIENT_ID/OIDC_CLIENT_SECRET (optional, Button bleibt ohne diese Vars ausgeblendet). Authorization-Code-Flow mit PKCE, ID-Token-Signaturprüfung gegen das JWKS des Providers via neuer Abhängigkeit "jose" (RS256 fest gepinnt gegen Algorithm-Confusion), State/Nonce kurzlebig und einmalig verwendbar in neuer Tabelle oidc_states (Migration 0003, analog zu webauthn_challenges). Funktioniert ausschließlich für bereits angelegte Benutzer (Abgleich per E-Mail) – kein Auto-Provisioning, keine Rollenübernahme aus Claims, beides bleibt exklusiv über die bestehende Benutzerverwaltung steuerbar. app/login/page.tsx zu Server-Component-Wrapper reduziert (prüft isConfigured(), liest ?error= aus searchParams), bisheriger Inhalt nach components/LoginForm.tsx verschoben. Version 1.9.0. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
13 lines
551 B
SQL
13 lines
551 B
SQL
-- Kurzlebiger, einmalig verwendbarer State-Store für den OpenID-Connect-
|
|
-- Login (SSO, z. B. gegen Authentik). Analog zu webauthn_challenges:
|
|
-- der "state"-Wert selbst ist die CSRF-Absicherung für den Callback
|
|
-- (der Callback ist ein Cross-Origin-GET vom Identity Provider, der
|
|
-- normale isSameOrigin()-Check greift dort nicht).
|
|
create table oidc_states (
|
|
state text primary key,
|
|
nonce text not null,
|
|
code_verifier text not null,
|
|
expires_at timestamptz not null,
|
|
created_at timestamptz not null default now()
|
|
);
|