[FEATURE] Conditionner la validation des AT utilisateurs en comparant l’aud des AT utilisateurs à la forwardedOrigin (PIX-15944)

[lego-technix]

🥞 Problème

C'est la suite de #11207

Maintenant que chaque Access Token utilisateur est porteur d'une audience (enregistrée dans le JWT avec la propriété aud), on peut vérifier, au niveau de la couche applicative, que cette audience légitime correspond bien au frontal auquel l'Access Token est envoyé.

🥓 Proposition

Mettre en place, au niveau de la couche applicative, un mécanisme de vérification vérifiant que l’aud de chaque Access Token utilisateur correspond bien au frontal auquel l'Access Token est envoyé.

Cette PR active le Feature Toggle (FT) FT_USER_TOKEN_AUD_CONFINEMENT_ENABLED pour tous les tests, de manière à valider que le dispositif mis en place est bien fonctionnel dans tous les cas et qu’aucune régression dans son fonctionnement ne puisse arriver avant l'activation définitive et non-optionnelle du mécanisme de vérification de l’audience.

Mais cette PR n'active pas encore la vérification que l’aud de chaque Access Token utilisateur. Pour cela il faut toujours activer le FT de la manière suivante :

FT_USER_TOKEN_AUD_CONFINEMENT_ENABLED=true

🧃 Remarques

⚠️ Cette PR est fonctionnelle sans la PR #11207, mais pour finaliser cette PR-ci il faut attendre que la PR #11207 soit mergée et il faudra accomplir quelques petites actions.

Une fois que #11207 est mergée :

1. Rebaser cette PR-ci sur dev
2. Drop le commit feat(api): mark anonymous Access Tokens as such to temporary exlcude them from audience validation
3. Modifier le commit feat(api): validate audience of non-anonymous user Access Tokens en enlevant la condition !decodedAccessToken.anonymous

😋 Pour tester

Faire les tests fonctionnels avec le FT activé :

FT_USER_TOKEN_AUD_CONFINEMENT_ENABLED=true

[pix-bot-github]

Une fois les applications déployées, elles seront accessibles via les liens suivants :

• App (.fr)
• App (.org)
• Orga (.fr)
• Orga (.org)
• Certif (.fr)
• Certif (.org)
• Junior
• Admin
• API
• Audit Logger

Les variables d'environnement seront accessibles via les liens suivants :

• scalingo front
• scalingo api
• scalingo audit-logger