[FEATURE] Créer une fonction de révocation des accès utilisateurs (PIX-15947)

[EmmanuelleBonnemay]

🥞 Problème

Créer une fonction de révocation des accès utilisateurs.

🥓 Proposition

Utiliser une logique basée sur le fait que les tokens JWT contiennent les attributs user_id et iat (issued at) et stocker dans Redis, en durée limitée, des couples userId - revokeTokensFromUserBeforeDate qui permettent de refuser tout AC qui correspondrait à la condition :
accessToken.user_id == revokeTokensFromUserId && accessToken.issuedAt < revokeTokensFromUserBeforeDate

🧃 Remarques

Le fichier authentication sera remanié ultérieurement pour séparer les logiques de usecase et de controller

😋 Pour tester

• Avec FT_USER_TOKEN_AUD_CONFINEMENT_ENABLED=false
  -- se connecter avec un utilisateur de votre choix
  --Dans redis placer la clé/valeur suivante : "set" "temporary-storage:revoked-user-access:uuuuu" "dddddddddd" "ex" "1739808582"
  en remplaçant uuuuu par le userId de votre utilisateur connecté et dddddddddd par un timestamp en secondes, postérieur à la date de connection
  -- Naviguer dans l'espace Pix App de votre utilisateur
  -- Constater que les appels à l'api renvoient des 200
• Avec FT_USER_TOKEN_AUD_CONFINEMENT_ENABLED=true
  --Tenter une navigation dans votre espace
  -- constater que vous êtes déconnecté et que vous ne pouvez pas vous reconnecter
  --Modifier la clé/valeur de Redis : "set" "temporary-storage:revoked-user-access:uuuuu" "dddddddddd" "ex" "1739808582"
  en remplaçant uuuuu par le userId de votre utilisateur et dddddddddd par un timestamp en secondes, antérieur à la date de connection
  --Constater que vous pouvez vous reconnecter sur ce compte

[pix-bot-github]

Une fois les applications déployées, elles seront accessibles via les liens suivants :

• App (.fr)
• App (.org)
• Orga (.fr)
• Orga (.org)
• Certif (.fr)
• Certif (.org)
• Junior
• Admin
• API
• Audit Logger

Les variables d'environnement seront accessibles via les liens suivants :

• scalingo front
• scalingo api
• scalingo audit-logger

[lego-technix]

✅ Lu et testé fonctionnellement avec succès avec Firefox 🦊

[P-Jeremy]

J'ai peu suivi le sujet hier. Mais de ce que je comprends, le code ne fait pas ce que dit le titre du ticket. On ne revoke pas ici un AT. On check si il est déjà révoqué 🤔

[lego-technix]

J'ai peu suivi le sujet hier. Mais de ce que je comprends, le code ne fait pas ce que dit le titre du ticket. On ne revoke pas ici un AT. On check si il est déjà révoqué 🤔

Effectivement les AT ne sont pas exactement révoqués, mais on stocke dans Redis l'information (récupérée dans le modèle RevokedUserAccess) qu'on révoque tous les accès d'un utilisateur antérieurs à une date. Cela revient donc à stocker une liste de révocation (plus large que pour les seuls AT). Donc fonctionnellement c'est la même chose que révoquer des AT.

[lego-technix]

J'ai peu suivi le sujet hier. Mais de ce que je comprends, le code ne fait pas ce que dit le titre du ticket. On ne revoke pas ici un AT. On check si il est déjà révoqué 🤔

Effectivement les AT ne sont pas exactement révoqués, mais on stocke dans Redis l'information (récupérée dans le modèle RevokedUserAccess) qu'on révoque tous les accès d'un utilisateur antérieurs à une date. Cela revient donc à stocker une liste de révocation (plus large que pour les seuls AT). Donc fonctionnellement c'est la même chose que révoquer des AT.

Je vais renommer le titre de la PR et du ticket pour que cela soit plus en phase avec ce qui est effectivement fait 👍

[pix-bot-github]

Une fois les applications déployées, elles seront accessibles via les liens suivants :

• App (.fr)
• App (.org)
• Orga (.fr)
• Orga (.org)
• Certif (.fr)
• Certif (.org)
• Junior
• Admin
• API
• Audit Logger

Les variables d'environnement seront accessibles via les liens suivants :

• scalingo front
• scalingo api
• scalingo audit-logger

[pix-bot-github]

Une fois les applications déployées, elles seront accessibles via les liens suivants :

• App (.fr)
• App (.org)
• Orga (.fr)
• Orga (.org)
• Certif (.fr)
• Certif (.org)
• Junior
• Admin
• API
• Audit Logger

Les variables d'environnement seront accessibles via les liens suivants :

• scalingo front
• scalingo api
• scalingo audit-logger