Add ability to revoke a token

[DavidBruant]

toctoctoc should expose an endpoint that revokes an access token

For the github part, it would forward to this github API endpoint:

Basic authentication for "Delete an app token"

You must use Basic Authentication to use this endpoint. Use the application's client_id as the username and the client_secret as the password.

I haven't looked at the gitlab part. Maybe it's ok to start with only github for now and do the gitlab part as a separate work

[LSCRSL]

Je pense avoir réussi à prendre en main smee. Désolé pour le message inutile.
Je me heurte à un autre problème :
Lorsque je tape la commande npm start, un message s'affiche dans le terminal : Il manque la variable d'environnement OAUTH_SERVICES_DECRYPTION_KEY.. Je ne comprends pas cette erreur car j'ai rempli le champ OAUTH_SERVICES_DECRYPTION_KEY dans .env avec le client secret de mon OAuth.
Pourriez-vous m'aider s'il vous plaît ?

[DavidBruant]

Lorsque je tape la commande npm start, un message s'affiche dans le terminal : Il manque la variable d'environnement OAUTH_SERVICES_DECRYPTION_KEY.. Je ne comprends pas cette erreur car j'ai rempli le champ OAUTH_SERVICES_DECRYPTION_KEY dans .env (...)

Oui, je vois
Je réalise que quand je travaille en local, je lance:

OAUTH_SERVICES_DECRYPTION_KEY=<key> npm start

ce qui set la variable d'environnement. Mais ça n'est documenté nulle part

Aussi, node.js a désormais un support natif des fichiers .env
Je vais corriger ça ce soir pour que ça marche de manière plus fluide (notamment que npm start aille lire dans .env)
Je reviendrai sur cette issue après

(...) j'ai rempli le champ OAUTH_SERVICES_DECRYPTION_KEY dans .env avec le client secret de mon OAuth.

Par contre, la variable d'environnement OAUTH_SERVICES_DECRYPTION_KEY ne contient pas le client_secret. Le client_secret est stocké dans oauth-services.json.encrypted qui est une version chiffrée de oauth-services.json

Pour créer un fichier oauth-services.json chiffré, la marche à suivre est :

1. utiliser npm run env-start:no-config pour lancer le serveur sans configuration github/gitlab
2. aller sur http://localhost:4567/oauth-services-config
3. créer un OAUTH_SERVICES_CONFIG_ENCRYPTION_KEY
4. coller une config dans JSON configuration content
5. la chiffrer et la sauvegarder dans oauth-services.json.encrypted

(il faudrait que je rende ça plus clair dans le readme, désolée)

[LSCRSL]

Très bien, merci pour votre réponse (et votre aide). Je vous avoue ne pas maîtriser ces notions, c'est l'occasion pour moi d'apprendre !

Aussi, où est-ce que je trouve la clé : OAUTH_SERVICES_DECRYPTION_KEY? Car sur la page de mon application OAuth je n'ai pas de clé excepté le client_secret. Peut-être l'ai-je mal configurée ?

[DavidBruant]

Je vous avoue ne pas maîtriser ces notions

et en fait, il y a plusieurs couches différentes de complexité. Y'en a une qui vient de Oauth et y'en a une qui vient de toctoctoc. Je vais essayer d'être plus clair sur quel problème vient d'où

Aussi, où est-ce que je trouve la clé : OAUTH_SERVICES_DECRYPTION_KEY? Car sur la page de mon application OAuth je n'ai pas de clé excepté le client_secret. Peut-être l'ai-je mal configurée ?

nan nan, c'est que le mécanisme est complexe et mal documenté

OAUTH_SERVICES_DECRYPTION_KEY, c'est une valeur qui est créée et n'existe qu'au sein de toctoctoc
À tel point que je réalise que la variable devrait plutôt s'appeler TOCTOCTOC_OAUTH_SERVICES_DECRYPTION_KEY pour le rendre plus clair

La seule manière de la créer, c'est de lancer le serveur via npm run env-start:no-config et d'aller sur http://localhost:4567/oauth-services-config (well... en vrai, y'a exactement la même page ici https://toctoctoc.lechappeebelle.team/oauth-services-config )
... et je ne réalise que maintenant que la page parle d'un OAUTH_SERVICES_CONFIG_ENCRYPTION_KEY et que ce nom n'a pas de sens. Il s'agit en fait de OAUTH_SERVICES_DECRYPTION_KEY, c'est une erreur de ma part 🤦
(je vais corriger ça aussi)

En allant sur https://toctoctoc.lechappeebelle.team/oauth-services-config , est-ce que vous arrivez à 1) créer un OAUTH_SERVICES_DECRYPTION_KEY (désolé pour le mauvais nom) 2) à chiffrer une configuration JSON ?

[DavidBruant]

Pardon, je dis d'aller sur http://localhost:4567/oauth-services-config parce que dans mon .env, il y a PORT=4567, mais le port par défaut, c'est 4000, je crois
Donc, peut-être plutôt http://localhost:4000/oauth-services-config

[LSCRSL]

Bonjour,

J'ai réussi à générer OAUTH_SERVICES_DECRYPTION_KEYet chiffrer une config JSON.
Ensuite, je renseigne ceci dans .env ? Le problème est que quand je copie colle cette clé, elle est très longue et comporte des == et /. Ou est-ce que renseigner la configuration chiffrée dans oauth-services.json.encryptedsuffit ?
Aussi, le port par défaut sur mon ordi est souvent 8080. Est-ce que je peux renseigner celui ci ?

[DavidBruant]

Bonjour,

Ah trop bien !!

Oui, le OAUTH_SERVICES_DECRYPTION_KEY va dans le .env
et la config chiffrée va dans le oauth-services.json.encrypted

Les deux sont réunis pour que la config soit déchiffrée ici :

toctoctoc/main.js

Lines 49 to 53 in 3418892

	const oauthServicesConfigContent = await decryptOauthServicesContent(
	encryptedOauthServicesConfigContent,
	// @ts-ignore
	process.env.OAUTH_SERVICES_DECRYPTION_KEY
	)

(et donc normalement, si tu lances le serveur, tu verras la config déchiffrée dans ta console avec le console.log juste en-dessous)

Aussi, le port par défaut sur mon ordi est souvent 8080. Est-ce que je peux renseigner celui ci ?

Oui oui, dans le .env tu mets ce que tu veux dans la variable d'environnement PORT

[LSCRSL]

Bonjour,

Bonne nouvelle ! J'ai (enfin) réussi à lancer le serveur toctoctoc.
Maintenant, je pense pouvoir commencer à écrire la fonction pour révoquer le token. Je pense que le plus judicieux est de le faire dans github.js. Est-ce que la révocation du token peut se faire uniquement en local ou est-ce que je suis dans l'obligation d'envoyer une requête (par ex : DELETE) à Github pour révoquer le token ?
Aussi, après avoir implémenté ma fonction comment dois-je procéder afin de m'assurer que la fct est correcte ? En faisant des console.log ? Mes questions peuvent sembler basiques, mais je débute côté serveur — c’est une bonne occasion pour moi d’apprendre !

Je vous remercie encore sincèrement de prendre le temps de m’aider pour ma toute première contribution !

[DavidBruant]

Allé ! Bien joué !!

Je pense que le plus judicieux est de le faire dans github.js

oui, je pense aussi

Est-ce que la révocation du token peut se faire uniquement en local ou est-ce que je suis dans l'obligation d'envoyer une requête (par ex : DELETE) à Github pour révoquer le token ?

Je crois que "revoquer le token en local" ne veut pas dire grand chose dans le contexte de toctoctoc (et je peux me tromper, je parle de mémoire sans avoir vérifier le code)
En fait, quand toctoctoc reçoit l'access_token de github, il redirige le navigateur vers une URL qui contient ce token... et c'est tout (et donc, oublie le token implicitement juste après. Et l'atelier Scribouilli, lui, enregistre ce token en localStorage, puis fait des requêtes directement vers github, sans passer via toctoctoc après. Ça a aussi le bon goût de ne rien nous coûter en bande passante après la redirection...)

C'est aussi pour des raisons de sécurité : si les tokens ne sont pas dans le serveur, hacker le serveur ne sert pas à grand chose parce qu'on n'y trouvera pas les access_token

Tout ça pour dire, il va falloir faire le DELETE vers github

Aussi, après avoir implémenté ma fonction comment dois-je procéder afin de m'assurer que la fct est correcte ? En faisant des console.log ?

hmm... j'improvise une réponse, je partage mon fil de pensée

des console.log ne vont pas suffire. Ce qu'on veut pour le bouton de déconnexion dans Scribouilli, c'est que github oublie la connexion entre le compte + toctoctoc + github
Et que quand la même personne revient se connecter, Github lui présente à nouveau la demande d'accès au compte via l'app oauth toctoctoc comme lors de la première connexion

Je crois qu'en tant qu'utilisateur.rice github, quand on se connecte à une app oauth, c'est noté dans le compte github quelque part. Genre ici : https://github.com/settings/applications

Et donc, j'imagine que pour vérifier si la fonction fait ce qu'on attend d'elle, ça pourrait ressembler à :

1. lancer le serveur toctoctoc en local
2. se connecter à l'app oauth que tu as créée
3. (optionnel : vérifier que tu vois la connexion à cette app ici : https://github.com/settings/applications )
4. lancer une requête HTTP de déconnexion Github sur le serveur toctoctoc (qui appelle la nouvelle fonction)
5. vérifier que la connexion à l'app a disparu de la liste des applications : https://github.com/settings/applications

Est-ce que ça répond à ta question ?

Mes questions peuvent sembler basiques, mais je débute côté serveur

C'est complètement ok de mon côté :-)

Merci encore pour ta persévérance 🙏

[LSCRSL]

Très bien merci !
Je viens de terminer ma fonction pour révoquer le token dans GitHub.js, maintenant je tente faire appel à celle-ci quand je clique sur mon bouton de déconnexion. J'ai ajouté le bouton de déconnexion dans ListContenu.svelte (dans Scribouilli) est-ce que je peux gérer l'appel à ma fct pour révoquer le token ici ou serait-il plus judicieux de le faire ailleurs ?
Il y a beaucoup de fichiers et j'ai encore du mal à cibler ceux qui sont pertinents dans mon cas.

[LSCRSL]

Bonjour,

Navrée de vous envoyer une nouvelle fois un message mais c'est pour une bonne nouvelle ! J'ai pu tester ma fonction en suivant avec attention les étapes que vous m'aviez données et cela a fonctionné ! La connexion a l'app a bien disparu après avoir lancé la requête HTTP. J'ai donc fait une pull request. Pour le côté Scribouilli j'ai déjà tout implémenté mais je ne sais pas comment connaître le port (et cela me pose pb pour l'envoi de la requête HTTP dans ce cas précis).

Bonne journée,

[DavidBruant]

Ah mais j'avais raté les messages ici !!
Merci beaucoup pour tout votre travail sur cette issue !

Concernant Scribouilli, je pense que le bouton aurait mieux sa place dans le header de l'atelier
https://github.com/Scribouilli/scribouilli/blob/principale/assets/scripts/components/Header.svelte
(genre en haut à droite, qui est une convention souvent suivie dans les sites web)

J'ai pu tester ma fonction en suivant avec attention les étapes que vous m'aviez données et cela a fonctionné !

allé ! Trop bieeeeeeen !!! 🎉

La connexion a l'app a bien disparu après avoir lancé la requête HTTP. J'ai donc fait une pull request.

Ah cool !! Je n'étais pas sûr que ça fonctionne comme ça, c'est cool d'avoir la confirmation !!

Pour le côté Scribouilli j'ai déjà tout implémenté mais je ne sais pas comment connaître le port (et cela me pose pb pour l'envoi de la requête HTTP dans ce cas précis).

Il n'y a pas vraiment moyen de "connaître le port". Il faut le définir dans toctoctoc et l'hardcoder dans Scribouilli (pour un toctoctoc en localhost) à cette ligne https://github.com/Scribouilli/scribouilli/blob/5535b6fd28401d2c1dd0da89071201285fe1b31d/assets/scripts/routes/login.js#L8

---

En fait, je me rends compte que je suis un peu "bloqué" pour tester la PR, parce qu'il me manque... exactement le travail que vous avez fait côté Scribouilli pour rajouter la fonctionnalité de déconnexion (et notamment le client_id de votre app oauth ; qui est chiffré dans oauth-services.json.encrypted :-p )
et j'aurais besoin de la clef de déchiffrage pour la configuration qui est actuellement dans la PR... mais il nous faudrait un canal de communication privé. Est-ce que vous pouvez me l'envoyer par email ? davidbruant@protonmail.com

Je vous propose de créer une PR côté Scribouilli, comme ça, ça sera plus facile pour moi pour tester la déconnexion

Merci beaucoup !