vers un nouveau ldap tout beau... (espérons)

Etienne Pallier
1 parent be8d1531
Showing 2 changed files with 302 additions and 48 deletions Show diff stats
README.md
src/Model/Table/LdapConnectionsTable.php
@@ -54,11 +54,9 @@ Logiciel testé et validé sur les configurations suivantes :
 VERSION ACTUELLE
 Date: 14/02/2019
-Version: 2.10.13.bugfix1
+Version: 2.10.14
 Author: EP
-			(IRAP ONLY) Bugfix Ajout/Edit materiel
-			
-			LDAP refactorisation && optimisation (1)
+			(IRAP ONLY) LDAP refactorisation && optimisation (1)
 			IMPORTANT: 
 			- Pour connaitre la version actuelle, taper "./VERSION"
@@ -100,13 +100,14 @@ class LdapConnectionsTable extends AppTable
             }
         }
-        // EP (aout 2017)
-        // ATTENTION : Utilisateur IMPORTANT.
-        // Avec cet utilisateur, on simule un utilisateur qui n'est PAS dans la table utilisateurs
-        // Il devrait donc se voir attribuer un role "Utilisateur" sans pour autant que ça soit écrit dans la table !!!
-        // login = '_NouvelUtilisateur_username'
-        // pass = '_NouvelUtilisateur_password'
-        // $prefix = "_NouvelUtilisateur_";
+        /* EP (aout 2017)
+         * ATTENTION : Utilisateur IMPORTANT.
+         * Avec cet utilisateur, on simule un utilisateur qui n'est PAS dans la table utilisateurs
+         * Il devrait donc se voir attribuer un role "Utilisateur" sans pour autant que ça soit écrit dans la table !!!
+         * login = '_NouvelUtilisateur_username'
+         * pass = '_NouvelUtilisateur_password'
+         * $prefix = "_NouvelUtilisateur_";
+         */
         $ldapUsers[] = [
             'sn' => [
                 'UTILISATEUR'
@@ -134,15 +135,13 @@ class LdapConnectionsTable extends AppTable
     private function checkConfiguration()
     {
-        $config = TableRegistry::get('Configurations')->find()
-            ->where([
-            'id =' => 1
-        ])
+		$config = TableRegistry::getTableLocator()->get('Configurations')
+			->find()
+            ->where(['id =' => 1])
             ->first();
+            
-        //$this->LDAP_USED = $config->LDAP_USED ? TRUE : FALSE;
         $this->LDAP_USED = $config->ldap_used;
-        
         if (! $this->LDAP_USED) {
             //$this->authenticationType = $config->authentificationType_ldap;
             $this->authenticationType = $config->ldap_authenticationType;
@@ -155,14 +154,6 @@ class LdapConnectionsTable extends AppTable
         $ldapConfig = $config->toArray();
         if (! empty($config->ldap_host) && ! empty($config->ldap_port) && ! empty($config->ldap_baseDn) && ! empty($config->ldap_authenticationType) && ! empty($config->ldap_filter)) {
-        //if (! empty($config->host_ldap) && ! empty($config->port_ldap) && ! empty($config->baseDn_ldap) && ! empty($config->authentificationType_ldap) && ! empty($config->filter_ldap)) {
-            /*
-            $this->host = $config->host_ldap;
-            $this->port = $config->port_ldap;
-            $this->baseDn = $config->baseDn_ldap;
-            $this->filter = $config->filter_ldap;
-            $this->authenticationType = $config->authentificationType_ldap;
-			*/
             $this->host = $config->ldap_host;
             $this->port = $config->ldap_port;
             $this->baseDn = $config->ldap_baseDn;
@@ -184,13 +175,52 @@ class LdapConnectionsTable extends AppTable
 				<li>authenticationType = ' . @$ldapConfig['authenticationType'] . '</li>
 			</ul>');
     }
-
+    
+    
+    
+    // REAL LDAP only
+    /**
+     * @return array or boolean : all users from DB (CACHE of the LDAP) or FALSE (if table emtpy or expired data)
+     */
+    private function fetchAllUsersFromDB() {
+        // On remet à jour tous les 7 jours
+        $PEREMPTION_NB_DAYS = 7;
+        
+        // Doit aussi retourner FALSE si la ligne FAKE de la table users
+        // (celle qui contient le user_name "FAKE_USER")
+        // a une date "updated" périmée (now - updated > $PEREMPTION_NB_DAYS)
+        // (update automatique de tous les users, chaque semaine, pour rester synced avec le LDAP)
+        // By default, no user in CACHE
+        return FALSE;
+    }
+    
+    // REAL LDAP only
+    // Sauvegarde de tous les users du LDAP en BD (avec un rythme de mise à jour hebdo)
+    // Seulement les champs: nom, pnom, login, pass, email, create, updated, profile
+    private function saveAllUsersInDB($users_fetched) {
+        
+        // START TRANSACTION
+        // 1) Update (ou création) de la ligne FAKE (contient le user_name "FAKE_USER") => avec une date "updated"
+        // 2) Update (ou création) de chaque user contenu dans $users_fetched
+        // Attention à ne pas perdre l'attribut "profile", surtout pour les users privilégiés!!! (les autres ont un profile = "Utilisateur")
+        // END TRANSACTION (COMMIT)
+        
+        // SAVE s'est bien passé
+        return TRUE;
+    }
+    
+    /**
+     * @return $users_fetched or FALSE
+     */
+    // REAL or FAKE LDAP
     public function getAllLdapUsers()
     {
         try {
             if ($this->checkConfiguration()) {
+                
                 // REAL LDAP
                 if ($this->LDAP_USED) {
+                    
                     $ldapConnection = ldap_connect($this->host, $this->port);
                     ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
@@ -206,7 +236,10 @@ class LdapConnectionsTable extends AppTable
         } catch (Exception $e) {}
         return false;
     }
+    
+        
+    // TODO: avirer, VIEUX CODE, à remplacer par getLdap1UserOrAllUsersAttributes()
     // $userName = login
     public function getUserAttributes($userName)
     {
@@ -227,7 +260,77 @@ class LdapConnectionsTable extends AppTable
         return false;
     }
-
+    
+    
+    
+    
+    // REAL LDAP only
+    /*
+     * @param string $ldapConnection
+     * @param string $filter
+     * @param array $just_these
+     * @param string $userName (= login) => for FAKE LDAP only
+     * @return $res = ldap search result (1 user or all users attributes) or FALSE
+     */
+    //public function getUserAttributes($userName, $ldapConnection='', $filter='', $just_these=[])
+    //public function getUserAttributes($ldapConnection='', $filter='', $just_these=[], $userName=NULL)
+    //public function getLdapUsersAttributes($ldapConnection, $filter='', $just_these=[])
+    public function getLdap1UserOrAllUsersAttributes($ldapConnection, $filter='', $just_these=[])
+    {
+        try {
+            if ($this->checkConfiguration()) {
+                
+                // LDAP mode
+                //if ($this->LDAP_USED) {
+                /* (EP)
+                 Fonction ldap_search ($link_identifier, $base_dn, $filter, array $attributes = null, $attrsonly = null, $sizelimit = null, $timelimit = null, $deref = null)
+                 Concernant le paramètre $attributes (ici, $just_these) :
+                 - An array of the required attributes, e.g. array("mail", "sn", "cn").
+                 - Note that the "dn" is always returned irrespective of which attributes types are requested.
+                 Telle que notre connexion au LDAP est conçue, on s'attend à recevoir AU MINIMUM
+                 ces attributs dans la réponse de la fonction ldap_search():
+                 - 'sn'
+                 - 'mail'
+                 - 'givenname'
+                 - 'uid'
+                 - 'userpassword'
+                 Pour récupérer tous ces attributs, il ne faut pas utiliser la variable $just_these,
+                 ou alors il faut qu'elle soit égale à un tableau vide ([]).
+                 (par exemple, si elle vaut "['cn']" ça signifie qu'on veut "seulement l'attribut 'cn'")
+                 Quand on n'utilise pas $just_these, la fonction ldap_search() retourne TOUS les attributs disponibles,
+                 donc c'est le comportement qu'on veut ici.
+                 */
+                
+                //$ldapConnection = ldap_connect($this->host, $this->port);
+                //ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
+                // OLD: $results = ldap_search($ldapConnection, $this->baseDn, '(' . $this->authenticationType . '=' . $userName . ')');
+                // NEW: $filter = "(&".$this->filter."(".$this->authenticationType . '=' . $user_login."))";
+                
+                // OLD à virer
+                $filter = '(' . $this->authenticationType . '=' . $userName . ')';
+                $just_these = [];
+                
+                $results = ldap_search($ldapConnection, $this->baseDn, $filter, $just_these)
+                or die("Could not search to LDAP server  response was: " . ldap_error($ldapConnection) );
+                $res = ldap_get_entries($ldapConnection, $results);
+                //echo $info["count"]." entries returned\n";
+                return $res;
+                //}
+                
+                // FAKE LDAP mode
+                //else return array( $this->getFakeLdapUser($userName) );
+                //else return $this->fakeLDAPUsers;
+                
+            }
+        } catch (Exception $e) {
+            echo 'Exception LDAP : ',  $e->getMessage(), "\n";
+        }
+        
+        return false;
+    }
+    
+    
+    
     public function getAuthenticationType()
     {
         return $this->authenticationType;
@@ -269,22 +372,27 @@ class LdapConnectionsTable extends AppTable
      */
     public function getListUsers()
     {
-        $u = $this->getAllLdapUsers();
         $utilisateurs = [];
-        if ($this->LDAP_USED) {
-            for ($i = 0; $i < $u['count']; $i ++) {
-                $utilisateurs[$u[$i]['sn'][0] . ' ' . $u[$i]['givenname'][0]] = $u[$i]['sn'][0] . ' ' . $u[$i]['givenname'][0];
-            }
-        } else {
-            for ($i = 0; $i < sizeof($u) - 1; $i ++) {
-                $utilisateurs[$u[$i]['sn'][0] . ' ' . $u[$i]['givenname'][0]] = $u[$i]['sn'][0] . ' ' . $u[$i]['givenname'][0];
-            }
-        }
+        // Get all users (with ALL their attributes)
+        $u = $this->getAllLdapUsers();
+        // Sort users
+        //sort($u);
+        //debug($u);
-        return $utilisateurs;
+        // (EP) Refactorisation pour éviter code redondant ci-dessous, c'était pourtant pas compliqué, poil dans la main...
+        $nb_users = $this->LDAP_USED ? $u['count'] : sizeof($u)-1;
+        // $utilisateurs["Pallier Etienne"] = "Pallier Etienne"
+        for ($i = 0; $i < $nb_users; $i ++)
+            $utilisateurs[ $u[$i]['sn'][0].' '.$u[$i]['givenname'][0] ] = $u[$i]['sn'][0].' '.$u[$i]['givenname'][0];
+		//debug($utilisateurs);
+		// Sort users (without modifying the keys, don't use sort() but asort() !!!!!!!!!!!!!)
+		ksort($utilisateurs);
+		//debug($utilisateurs);
+		return $utilisateurs;
     }
-
+    
+    
     /**
      * Return a list of login ofUsers with key = username & value = login
      */
@@ -355,26 +463,167 @@ class LdapConnectionsTable extends AppTable
             'pass' => '_fake_ldap_user_pass'
         ];
     }
+    
+    
-    public function ldapAuthentication($login, $password)
-    {
+    // TODO: implement
+    // REAL LDAP only
+    private function checkAndFetchUserFromDB($user_login, $user_password) {
+        // Doit aussi return false si ce user_login est "périmé" (sa date "created" est > 2 mois par exemple),
+        // ce qui obligera à relire ses données dans le LDAP et donc se mettre à jour
+        // By default, user is not in DB
+        return FALSE;
+    }
+    
+    
+    // REAL LDAP only
+    private function searchLdap($filter, $just_these, $user_login=NULL, $user_password=NULL) {
+        
+        // CONNEXION
+        $ldapConnection = ldap_connect($this->host, $this->port)
+        or die("Could not connect to $this->host (port $this->port)");
+        
+        if ($ldapConnection) {
+            
+            // OPTIONS
+            ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
+            
+            // BINDING
+            
+            // - Authentified
+            if ($this->ldap_authentified)
+                $ldapbind = ldap_bind($ldapConnection, $this->bindDn, $this->bindPass);
+                // or die("Could not bind to LDAP server.". ldap_error($ldapConnection) );
+                
+                // - Anonymous
+                // En cas de LDAP anonyme, binding quand même pour vérifier le mot de passe de l'utilisateur.
+                // Sans cette ligne, on passe avec n'importe quel password !!!
+                else {
+                    $ldapbind = TRUE;
+                    // function ldap_bind ($link_identifier, $bind_rdn = null, $bind_password = null)
+                    //debug("log, pass= " . $user_login . ' ' . $user_password);
+                    //if ($user_login && $user_password) $ldapbind = ldap_bind($ldapConnection, $this->authenticationType.'='.$user_login, $user_password);
+                    if ($user_login && $user_password)
+                        $ldapbind = ldap_bind($ldapConnection, $this->authenticationType . '=' . $user_login . ',' . $this->baseDn, $user_password);
+                        //debug("ldapbind " . $ldapbind);
+                }
+                
+                // SEARCH
+                if ($ldapbind) {
+                    //$search = $this->getLdapUserAttributes($ldapConnection, $filter, $just_these, $user_login);
+                    $search = $this->getLdap1UserOrAllUsersAttributes($ldapConnection, $filter, $just_these);
+                    if ($search === FALSE) die("Could not get user attributes from LDAP server, response was: " . ldap_error($ldapConnection) );
+                    //return $search[0];
+                    return $search;
+                }
+                
+        }
+        
+        // Il y a eu un pb, utilisateur non reconnu
+        return FALSE;
+        
+    }
+    
+    
+    
+    
+    // REAL LDAP only
+    private function checkAndFetchUserFromLdap($user_login, $user_password) {
+        // Set LDAP parameters
+        // - Liste des attributs à récupérer dans le ldap (vide = TOUS les attributs)
+        $just_these = [];
+        // TODO: vérifier si cette ligne est bien utile ou pas... (avant on faisait ça)
+        if (! $this->ldap_authentified) $just_these = array("cn");
+        
+        /* Examples :
+         *
+         * - ANONYMOUS LDAP (IRAP) :
+         * $this->authenticationType = 'uid'
+         * $this->baseDn = "ou=users,dc=irap,dc=omp,dc=eu"
+         *
+         * - AUTHENTIFIED LDAP connection (CRAL) :
+         * $this->authenticationType = 'sAMAccountName'
+         * $this->baseDn = "dc=univ-lyon1,dc=fr"
+         * $binddn="CN=svc_ldap_cral,OU=users,OU=27,OU=sim,OU=univ-lyon1,DC=univ-lyon1,DC=fr";
+         * ($binddn = "CN=svc_ldap_cral,OU=users,OU=27,OU=sim,OU=univ-lyon1,".$this->baseDn;)
+         * $filter = "(&(objectClass=person)(memberOf:1.2.840.113556.1.4.1941:=cn=ucbl.osu.cral,ou=groups,ou=27,ou=sim,ou=univ-lyon1,dc=univ-lyon1,dc=fr))";
+         */
+        // Construction du filtre avec le filtre de la base de données avec un & sur le login de l'utilisateur
+        // Si aucun filtre n'est défini dans la base de données on aura juste (& ($this->authenticationType=$user_login))
+        // ex: "(&(objectClass=person)(memberOf:1.2.840.113556.1.4.1941:=cn=ucbl.osu.cral,ou=groups,ou=27,ou=sim,ou=univ-lyon1,dc=univ-lyon1,dc=fr)(sAMAccountName=$user_login))";
+        $filter = "(&".$this->filter."(".$this->authenticationType . '=' . $user_login."))";
+        
+        //TODO: optimisation, refactoriser si comportement général
+        //$binddn .= ','.$this->baseDn;
+        
+        $res = $this->searchLdap($filter, $just_these, $user_login, $user_password);
+        if ($res != FALSE) return $res[0];
+        
+        /*
+         // CONNEXION
+         $ldapConnection = ldap_connect($this->host, $this->port)
+         or die("Could not connect to $this->host (port $this->port)");
+         
+         if ($ldapConnection) {
+         
+         // OPTIONS
+         ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
+         
+         // BINDING
+         if ($this->ldap_authentified)
+         $ldapbind = ldap_bind($ldapConnection, $this->bindDn, $this->bindPass); // or die("Could not bind to LDAP server.". ldap_error($ldapConnection) );
+         // En cas de LDAP anonyme, binding quand même pour vérifier le mot de passe de l'utilisateur.
+         // Sans cette ligne, on passe avec n'importe quel password !!!
+         else
+         $ldapbind = ldap_bind($ldapConnection, $this->authenticationType.'='.$user_login, $user_password);
+         
+         // SEARCH
+         if ($ldapbind) {
+         $search = $this->getUserAttributes($user_login, $ldapConnection, $filter, $just_these);
+         if ($search === false) die("Could not get user attributes from LDAP server, response was: " . ldap_error($ldapConnection) );
+         return $search[0];
+         }
+         
+         }
+         */
+         
+         // Il y a eu un pb, utilisateur non reconnu
+         return FALSE;
+    }
+    
+    
+    // TODO: implement
+    private function saveNewUserInDB($user_fetched) {
+        // SAVE new user in DB
+        return TRUE;
+    }
+    
+    
+    
+    
+    /*
+     * @param string $user_login
+     * @param string $user_password
+     * @return logged user LDAP attributes or FALSE if user not found in LDAP
+     */
+    public function ldapAuthentication($user_login, $user_password) {
         try {
             if ($this->checkConfiguration()) {
                 if ($this->LDAP_USED) {
-                    if (strlen(trim($password)) == 0)
+                    if (strlen(trim($user_password)) == 0)
                         return FALSE;
                     $ldapConnection = ldap_connect($this->host, $this->port);
                     ldap_set_option($ldapConnection, LDAP_OPT_PROTOCOL_VERSION, 3);
-                    if (@ldap_bind($ldapConnection, $this->authenticationType . '=' . $login . ',' . $this->baseDn, $password)) {
-                        return $this->getUserAttributes($login)[0];
+                    if (@ldap_bind($ldapConnection, $this->authenticationType . '=' . $user_login . ',' . $this->baseDn, $user_password)) {
+                        return $this->getUserAttributes($user_login)[0];
                         /*
                          * } else {
                          * return false;
                          */
                     }
                 } else {
-                    $user = $this->getFakeLdapUser($login);
+                    $user = $this->getFakeLdapUser($user_login);
                     // debug($user);
                     if ($user === false)
                         return FALSE;
@@ -383,13 +632,20 @@ class LdapConnectionsTable extends AppTable
                     // if ($user[$this->authenticationType][0] == "_NouvelUtilisateur_username" && $user['userpassword'][0] == "_NouvelUtilisateur_password") return $user;
                     if ($user[$this->authenticationType][0] == $this->getTheFakeLdapUser()['login'] && $user['userpassword'][0] == $this->getTheFakeLdapUser()['pass'])
                         return $user;
-                    if ((new DefaultPasswordHasher())->check($password, $user['userpassword'][0]))
+                        if ((new DefaultPasswordHasher())->check($user_password, $user['userpassword'][0]))
                         return $user;
                     // if ($user != false && $user['userpassword'][0] == $password) {
                 }
             }
-        } catch (Exception $e) {}
+        } catch (Exception $e) {
+            //echo 'Exception LDAP : ',  $e->getMessage(), "\n";
+        }
+        
+        // Il y a eu un problème, l'utilisateur n'est pas reconnu        
         return FALSE;
-    }
+    } // end ldapAuthentication()
+ 
+    
+    
 }
 ?>
 \ No newline at end of file