Auth-Fundament: JWT + Redis (Phase 1, non-breaking)

Vorbereitung für pod-unabhängige Sessions (k8s-Ziel). Ändert am Live-System NICHTS: AUTH_BACKEND='session' bleibt Default, die neuen Libs sind noch nirgends verdrahtet. - composer eingeführt: firebase/php-jwt ^6.11 + predis/predis ^2.4 (pure PHP, keine Redis-Extension nötig → läuft auf XAMPP wie im Prod-Image). vendor/ committed (kein Composer auf dem Server). - Jwt.php: HS256-Access-Token (issue/verify), decode() IMMER mit explizitem Algorithmus (mitigiert Algorithmus-Confusion). 8/8 Tests grün. - SessionStore.php: predis-gestützter Session/Refresh-Store (sess:<sid>, Sliding-TTL, revoke=DEL) — die widerrufbare Session hinter dem kurzen JWT. - app.php: vendor/autoload (guarded), Konstanten AUTH_BACKEND (Default session), REDIS_URL, JWT_TTL, JWT_REFRESH_TTL. JWT_SECRET bewusst ohne Default. - docker-compose.dev.yml: Redis (+ redis-commander UI) für lokale Dev-Parität. - .env.example um Auth-Block ergänzt. Nächste Phasen: $_SESSION-Zugriffe (293) durch Session:: kanalisieren → Backend-Umschalter in Session.php → doppelgleisiger Cutover → Reporting auf student_id-FK ziehen. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-08-18 16:21:27 +02:00
parent db4b75c5e6
commit 5d94572569
585 changed files with 39582 additions and 0 deletions
@@ -0,0 +1,58 @@
+<?php
+/**
+ * GeoGraSim — JWT Access-Token (HS256)
+ * ------------------------------------
+ * Dünner Wrapper über firebase/php-jwt. Stellt kurzlebige Access-Tokens aus
+ * und prüft sie. WICHTIG: decode() bekommt IMMER den expliziten Algorithmus
+ * (Key(secret, 'HS256')) — das mitigiert die Algorithmus-Confusion-Klasse
+ * (alg:none / RS↔HS-Verwechslung).
+ *
+ * Reine Bibliothek — wird erst im Cutover von Session.php genutzt. Solange
+ * AUTH_BACKEND='session' gilt, ruft nichts diese Klasse.
+ */
+
+use Firebase\JWT\JWT as FirebaseJWT;
+use Firebase\JWT\Key;
+
+class Jwt
+{
+    const ALG = 'HS256';
+
+    private static function secret(): string
+    {
+        if (!defined('JWT_SECRET') || JWT_SECRET === '') {
+            throw new RuntimeException('JWT_SECRET fehlt — in .env setzen, sobald AUTH_BACKEND=jwt.');
+        }
+        return JWT_SECRET;
+    }
+
+    /**
+     * Access-Token ausstellen.
+     * @param array $claims z. B. ['sub'=>42, 'typ'=>'teacher', 'sid'=>'<redis-sid>', 'roles'=>[]]
+     */
+    public static function issue(array $claims, ?int $ttl = null): string
+    {
+        $now = time();
+        $payload = array_merge([
+            'iss' => defined('BASE_URL') ? BASE_URL : 'geograsim',
+            'iat' => $now,
+            'nbf' => $now,
+            'exp' => $now + ($ttl ?? (defined('JWT_TTL') ? JWT_TTL : 900)),
+        ], $claims);
+        return FirebaseJWT::encode($payload, self::secret(), self::ALG);
+    }
+
+    /**
+     * Access-Token prüfen. Gibt die Claims als Array zurück oder null
+     * (bei ungültiger Signatur, abgelaufen, noch nicht gültig, kaputt).
+     */
+    public static function verify(string $token): ?array
+    {
+        try {
+            $decoded = FirebaseJWT::decode($token, new Key(self::secret(), self::ALG));
+            return (array) $decoded;
+        } catch (\Throwable $e) {
+            return null; // ExpiredException, SignatureInvalidException, …
+        }
+    }
+}