Added authGuard function and its implementations

Also refactored small code mistakes.
2021-01-19 18:52:52 +01:00
parent 410a58fc09
commit e8ca2416b7
31 changed files with 4062 additions and 3947 deletions
--- a/api/database/auracle_db_create.sql
+++ b/api/database/auracle_db_create.sql
@@ -163,19 +163,24 @@ INSERT INTO `permission` (slug) VALUES
 ("MODIFY_SPELLS"),
 ("DELETE_SPELLS"),
 ("WARN_USERS"),
-("BAN_USERS");
+("BAN_USERS"),
+("SECRET_SPELLS"),
+("SECRET_USERS");

 INSERT INTO `role_permission` (role_id, permission_id) VALUES
 (2, 1),
 (3, 1),
 (3, 2),
 (3, 3),
+(3, 7),
 (4, 1),
 (4, 2),
 (4, 3),
 (4, 4),
 (4, 5),
-(4, 6);
+(4, 6),
+(4, 7),
+(4, 8);

 -- USERS
 INSERT INTO `user` (uuid, name, mail, avatar, gender, register_date, password, role_id, verified, banned) VALUES
--- a/api/models/api-token-model.js
+++ b/api/models/api-token-model.js
@@ -7,7 +7,7 @@ let APIToken = bookshelf.Model.extend({
    tableName: 'api_token',
    hidden: ['id'],
    user() {
-        return this.hasOne( 'User', 'user_uuid' );
+        return this.belongsTo('User', 'user_uuid', 'uuid');
    }
 })

--- a/api/repositories/ingredient-repository.js
+++ b/api/repositories/ingredient-repository.js
@@ -5,9 +5,9 @@ const model = require('../models/ingredient-model')

 // Model validation
 const Validator = require('jsonschema').Validator
-const v = new Validator()
+const validator = new Validator()
 const IngredientValidation = require("../validations/IngredientValidation")
-v.addSchema(IngredientValidation, "/IngredientValidation")
+validator.addSchema(IngredientValidation, "/IngredientValidation")

 // Validations
 const isXSSAttempt = require('../functions').isXSSAttempt
@@ -80,9 +80,9 @@ class IngredientRepository {
                    "message": "Le corps de la requête ne peut pas être vide.",
                    "code": 403,
                });
-            } else if (!v.validate(igr, IngredientValidation).valid) {
+            } else if (!validator.validate(igr, IngredientValidation).valid) {
                reject({
-                    "message": `Le modèle d'ingrédient n'est pas respecté : ${v.validate(s, IngredientValidation).errors}`,
+                    "message": `Le modèle d'ingrédient n'est pas respecté : ${validator.validate(s, IngredientValidation).errors}`,
                    "code": 403,
                });
            } else if (isXSSAttempt(igr.description)) {
@@ -127,9 +127,9 @@ class IngredientRepository {
                    "message": "Le corps de la requête ne peut pas être vide.",
                    "code": 403,
                });
-            } else if (!v.validate(igr, IngredientValidation).valid) {
+            } else if (!validator.validate(igr, IngredientValidation).valid) {
                reject({
-                    "message": `Le modèle d'ingrédient n'est pas respecté : ${v.validate(s, IngredientValidation).errors}`,
+                    "message": `Le modèle d'ingrédient n'est pas respecté : ${validator.validate(s, IngredientValidation).errors}`,
                    "code": 403,
                });
            } else if (isXSSAttempt(igr.description)) {
--- a/api/repositories/meta-school-repository.js
+++ b/api/repositories/meta-school-repository.js
@@ -5,9 +5,9 @@ const model = require('../models/meta-school-model')

 // Model validation
 const Validator = require('jsonschema').Validator
-const v = new Validator()
+const validator = new Validator()
 const MetaSchoolValidation = require("../validations/MetaSchoolValidation")
-v.addSchema(MetaSchoolValidation, "/MetaSchoolValidation")
+validator.addSchema(MetaSchoolValidation, "/MetaSchoolValidation")

 // Validations
 const regexXSS = RegExp(/<[^>]*script/)
--- a/api/repositories/school-repository.js
+++ b/api/repositories/school-repository.js
@@ -5,9 +5,9 @@ const model = require('../models/school-model')

 // Model validation
 const Validator = require('jsonschema').Validator
-const v = new Validator()
+const validator = new Validator()
 const SchoolValidation = require("../validations/SchoolValidation")
-v.addSchema(SchoolValidation, "/SchoolValidation")
+validator.addSchema(SchoolValidation, "/SchoolValidation")

 // Validations
 const isXSSAttempt = require('../functions').isXSSAttempt
@@ -79,9 +79,9 @@ class SchoolRepository {
                    "message": "Le corps de la requête ne peut pas être vide.",
                    "code": 403,
                });
-            } else if (!v.validate(s, SchoolValidation).valid) {
+            } else if (!validator.validate(s, SchoolValidation).valid) {
                reject({
-                    "message": `Le modèle d'école n'est pas respecté : ${v.validate(s, SchoolValidation).errors}`,
+                    "message": `Le modèle d'école n'est pas respecté : ${validator.validate(s, SchoolValidation).errors}`,
                    "code": 403,
                });
            } else if (isXSSAttempt(s.name) || isXSSAttempt(s.description)) {
@@ -127,9 +127,9 @@ class SchoolRepository {
                    "message": "Le corps de la requête ne peut pas être vide.",
                    "code": 403,
                });
-            } else if (!v.validate(s, SchoolValidation).valid) {
+            } else if (!validator.validate(s, SchoolValidation).valid) {
                reject({
-                    "message": `Le modèle d'école n'est pas respecté : ${v.validate(s, SchoolValidation).errors}`,
+                    "message": `Le modèle d'école n'est pas respecté : ${validator.validate(s, SchoolValidation).errors}`,
                    "code": 403,
                });
            } else if (isXSSAttempt(s.name) || isXSSAttempt(s.description)) {
--- a/api/repositories/spell-repository.js
+++ b/api/repositories/spell-repository.js
@@ -5,9 +5,9 @@ const model = require('../models/spell-model')

 // Model validation
 const Validator = require('jsonschema').Validator
-const v = new Validator()
+const validator = new Validator()
 const SpellValidation = require("../validations/SpellValidation")
-v.addSchema(SpellValidation, "/SpellValidation")
+validator.addSchema(SpellValidation, "/SpellValidation")

 // Validations
 const isXSSAttempt = require('../functions').isXSSAttempt
@@ -118,9 +118,9 @@ class SpellRepository {
                    "message": "Le corps de la requête ne peut pas être vide.",
                    "code": 403,
                });
-            } else if (!v.validate(s, SpellValidation).valid) {
+            } else if (!validator.validate(s, SpellValidation).valid) {
                reject({
-                  "message": `Le modèle de sortilège n'est pas respecté : ${v.validate(s, SpellValidation).errors}`,
+                    "message": `Le modèle de sortilège n'est pas respecté : ${validator.validate(s, SpellValidation).errors}`,
                    "code": 403,
                });
            } else if (isXSSAttempt(s.name) || isXSSAttempt(s.description) || isXSSAttempt(s.cost)) {
@@ -194,9 +194,9 @@ class SpellRepository {
                    "message": "Le corps de la requête ne peut pas être vide.",
                    "code": 403,
                });
-            } else if (!v.validate(s, SpellValidation).valid) {
+            } else if (!validator.validate(s, SpellValidation).valid) {
                reject({
-                    "message": `Le modèle de sortilège n'est pas respecté : ${v.validate(s, SpellValidation).errors}`,
+                    "message": `Le modèle de sortilège n'est pas respecté : ${validator.validate(s, SpellValidation).errors}`,
                    "code": 403,
                });
            } else if (isXSSAttempt(s.name) || isXSSAttempt(s.description) || isXSSAttempt(s.cost)) {
--- a/api/repositories/user-repository.js
+++ b/api/repositories/user-repository.js
@@ -13,9 +13,9 @@ const mails = require('../smtp/mails');

 // Model validation
 const Validator = require('jsonschema').Validator;
-const v = new Validator();
+const validator = new Validator();
 const UserValidation = require("../validations/UserValidation");
-v.addSchema(UserValidation, "/UserValidation");
+validator.addSchema(UserValidation, "/UserValidation");

 // Validations
 const isXSSAttempt = require('../functions').isXSSAttempt;
@@ -168,9 +168,9 @@ class UserRepository {
                    "message": "Le corps de requête ne peut être vide.",
                    "code": 403,
                })
-            } else if (!v.validate(u, UserValidation).valid) {
+            } else if (!validator.validate(u, UserValidation).valid) {
                reject({
-                    "message":  "Structure de la requête invalide - " + v.validate(u, UserValidation).errors,
+                    "message": "Structure de la requête invalide - " + validator.validate(u, UserValidation).errors,
                    "code": 403,
                })
            } else if (isXSSAttempt(u.name) || isXSSAttempt(u.password) || isXSSAttempt(u.mail)) {
@@ -397,6 +397,91 @@ class UserRepository {
        })
    }

+    checkAPITokenPerms(token, permissions) {
+        return new Promise(async (resolve, reject) => {
+
+            // If the request doesn't have a token, reject it.
+            if (!token) {
+                reject({
+                    "message": "Vous devez utiliser un jeton d'API dans l'en-tête de votre requête.",
+                    "code": 401,
+                })
+            }
+
+            // Fetches user from token
+            new token_model()
+                .where({ 'value': token })
+                .fetch({ withRelated: 'user.role.permissions' })
+
+                // Catches not found errors
+                .catch(err => {
+                    if (err instanceof token_model.NotFoundError) {
+                        reject({
+                            "message": "Ce jeton n'est affilié à aucun compte.",
+                            "code": 404,
+                        });
+                    } else {
+                        reject({
+                            "message": "Le jeton ou l'utilisateur n'a pas pu être récupéré.",
+                            "code": 500,
+                        });
+                    }
+                })
+
+                .then(fullToken => {
+                    token = fullToken.toJSON({ omitPivot: true });
+
+                    // If the token is associated with a banned user...
+                    if (token.user.banned) {
+                        reject({
+                            "message": "Le jeton est lié à un utilisateur banni, il n'est donc plus utilisable.",
+                            "code": 401,
+                        });
+                    }
+
+                    // If the token is associated with a non-verified user...
+                    if (!token.user.verified) {
+                        reject({
+                            "message": "Le jeton est lié à un utilisateur non-vérifié, il n'est donc pas utilisable.",
+                            "code": 401,
+                        });
+                    }
+
+                    let user_permissions = token.user.role.permissions;
+
+                    // Convert user_perm to array
+                    user_permissions.forEach((user_perm, i) => {
+                        user_permissions[i] = user_perm.slug;
+                    });
+
+                    // Loops to check if the person has all the permissions required...
+                    permissions.forEach(perm => {
+                        // If not, reject...
+                        if (!user_permissions.includes(perm)) {
+                            reject({
+                                "message": "Permissions insuffisantes.",
+                                "code": 401
+                            })
+                        }
+                    });
+
+                    // If everything went well, resolve the promise.
+                    resolve({
+                        "message": "Credentials accepted.",
+                        "code": 200
+                    });
+                })
+
+                // Unhandled errors
+                .catch(err => {
+                    reject({
+                        "message": "Une erreur inconnue est survenue.",
+                        "code": 500,
+                    });
+                });
+        })
+    }
+
    /**
     * Check if the email that was input is available for account creation.
     * 
--- a/api/repositories/variable-repository.js
+++ b/api/repositories/variable-repository.js
@@ -5,9 +5,9 @@ const model = require('../models/variable-model')

 // Model validation
 const Validator = require('jsonschema').Validator
-const v = new Validator()
+const validator = new Validator()
 const VariableValidation = require("../validations/VariableValidation")
-v.addSchema(VariableValidation, "/VariableValidation")
+validator.addSchema(VariableValidation, "/VariableValidation")

 // Validations
 const isXSSAttempt = require('../functions').isXSSAttempt
@@ -80,9 +80,9 @@ class VariableRepository {
                    "message": "Le corps de la requête ne peut pas être vide.",
                    "code": 403,
                });
-            } else if (!v.validate(vr, VariableValidation).valid) {
+            } else if (!validator.validate(vr, VariableValidation).valid) {
                reject({
-                    "message": `Le modèle de variable n'est pas respecté : ${v.validate(s, VariableValidation).errors}`,
+                    "message": `Le modèle de variable n'est pas respecté : ${validator.validate(s, VariableValidation).errors}`,
                    "code": 403,
                });
            } else if (isXSSAttempt(vr.description)) {
@@ -126,9 +126,9 @@ class VariableRepository {
                    "message": "Le corps de la requête ne peut pas être vide.",
                    "code": 403,
                });
-            } else if (!v.validate(vr, VariableValidation).valid) {
+            } else if (!validator.validate(vr, VariableValidation).valid) {
                reject({
-                    "message": `Le modèle de variable n'est pas respecté : ${v.validate(s, VariableValidation).errors}`,
+                    "message": `Le modèle de variable n'est pas respecté : ${validator.validate(s, VariableValidation).errors}`,
                    "code": 403,
                });
            } else if (isXSSAttempt(vr.description)) {
--- a/api/routes/auth.js
+++ b/api/routes/auth.js
@@ -1,5 +1,4 @@
 'use strict'
-
 // Router
 const express = require('express');
 let router = express.Router();
@@ -9,29 +8,6 @@ const UserRepository = require('../repositories/user-repository');
 const Users = new UserRepository();

 // ROUTES
-// ENTRY POINT
-const authUser = (mail, password) => {
-    return Users.logUserToAPI(mail, password)
-    .catch(err => {
-        throw err
-    })
-}
-router.get('/login', async (req, res) => {
-    authUser(req.body.mail, req.body.password)
-    .then(v => {
-        res.setHeader('Content-Type', 'application/json;charset=utf-8')
-        res.end(JSON.stringify(v))
-    })
-    .catch(err => {
-        res.status(err.code).send(JSON.stringify(
-            {
-                "error": err.message,
-                "code": err.code
-            })
-        )
-    })
-})
-
 // GEN API TOKEN
 const generateAPIToken = (mail, password) => {
    return Users.genAPIToken(mail, password)
@@ -50,4 +26,4 @@ router.get('/genToken', async (req, res) => {
        })
 })

-module.exports = router
+module.exports = router;
--- a/api/routes/ingredients.js
+++ b/api/routes/ingredients.js
@@ -1,12 +1,11 @@
 'use strict'

 // Router
-const express = require('express')
-let router = express.Router()
+const express = require('express');
+let router = express.Router();

 // Connection
-const connection = require('../database/bookshelf')
-const functions = require('../functions')
+const functions = require('../functions');

 // Repository
 const IngredientRepository = require('../repositories/ingredient-repository');
--- a/api/routes/meta_schools.js
+++ b/api/routes/meta_schools.js
@@ -1,12 +1,11 @@
 'use strict'

 // Router
-const express = require('express')
-let router = express.Router()
+const express = require('express');
+let router = express.Router();

 // Connection
-const connection = require('../database/bookshelf')
-const functions = require('../functions')
+const functions = require('../functions');

 // Repository
 const MetaSchoolRepository = require('../repositories/meta-school-repository');
--- a/api/routes/middleware/authGuard.js
+++ b/api/routes/middleware/authGuard.js
@@ -0,0 +1,23 @@
+// Repository
+const UserRepository = require('../../repositories/user-repository');
+const Users = new UserRepository();
+
+// AUTHGUARD
+const authGuard = (permissions) => {
+    return async (req, res, next) => {
+
+        // Get token from headers
+        let api_token = req.headers['auracle_key'];
+
+        // Uses repo to validate the associated perms with the token
+        Users.checkAPITokenPerms(api_token, permissions)
+            .then(v => {
+                next();
+            })
+            .catch(err => {
+                res.status(err.code).send(JSON.stringify(err))
+            });
+    }
+}
+
+module.exports = authGuard;
--- a/api/routes/schools.js
+++ b/api/routes/schools.js
@@ -1,12 +1,11 @@
 'use strict'

 // Router
-const express = require('express')
-let router = express.Router()
+const express = require('express');
+let router = express.Router();

 // Connection
-const connection = require('../database/bookshelf')
-const functions = require('../functions')
+const functions = require('../functions');

 // Repository
 const SchoolRepository = require('../repositories/school-repository');
--- a/api/routes/spells.js
+++ b/api/routes/spells.js
@@ -1,12 +1,14 @@
 'use strict'

 // Router
-const express = require('express')
-let router = express.Router()
+const express = require('express');
+let router = express.Router();

 // Connection
-const connection = require('../database/bookshelf')
-const functions = require('../functions')
+const functions = require('../functions');
+
+// AuthGuard
+const authGuard = require('./middleware/authGuard');

 // Repository
 const SpellReposity = require('../repositories/spell-repository');
@@ -21,7 +23,9 @@ const getPublicSpells = (name, description, level, charge, cost, ritual) => {
            throw err
        })
 }
-router.get('//:name?/:description?/:level?/:charge?/:cost?/:ritual?/', async (req, res) => {
+router.get(
+    '//:name?/:description?/:level?/:charge?/:cost?/:ritual?/',
+    async (req, res) => {
        getPublicSpells(req.query.name, req.query.description, req.query.level, req.query.charge, req.query.cost, req.query.ritual)
            .then(v => {
                res.setHeader('Content-Type', 'application/json;charset=utf-8')
@@ -45,7 +49,10 @@ const getSpells = (name, description, level, charge, cost, ritual) => {
            throw err
        })
 }
-router.get('/private/:name?/:description?/:level?/:charge?/:cost?/:ritual?/', async (req, res) => {
+router.get(
+    '/private/:name?/:description?/:level?/:charge?/:cost?/:ritual?/',
+    authGuard(['SECRET_SPELLS']),
+    async (req, res) => {
        getSpells(req.query.name, req.query.description, req.query.level, req.query.charge, req.query.cost, req.query.ritual)
            .then(v => {
                res.setHeader('Content-Type', 'application/json;charset=utf-8')
@@ -69,7 +76,9 @@ const getSomeSpells = (page) => {
            throw err
        })
 }
-router.get('/page/:page', async (req, res) => {
+router.get(
+    '/page/:page',
+    async (req, res) => {
        getSomeSpells(req.params.page)
            .then(v => {
                res.setHeader('Content-Type', 'application/json;charset=utf-8')
@@ -93,7 +102,9 @@ const getSpell = (id) => {
            throw err
        })
 }
-router.get('/:id/', async (req, res) => {
+router.get(
+    '/:id/',
+    async (req, res) => {
        getSpell(req.params.id)
            .then(v => {
                res.setHeader('Content-Type', 'application/json;charset=utf-8')
@@ -118,7 +129,10 @@ const addSpell = (s) => {
            throw err
        })
 }
-router.post('/', async (req, res) => {
+router.post(
+    '/',
+    authGuard(['SUBMIT_SPELLS']),
+    async (req, res) => {
        addSpell(req.body)
            .then(v => {
                res.setHeader('Content-Type', 'application/json;charset=utf-8')
@@ -143,7 +157,10 @@ const updateSpell = (id, s) => {
            throw err
        })
 }
-router.put('/:id/', async (req, res) => {
+router.put(
+    '/:id/',
+    authGuard(['SUBMIT_SPELLS', 'MODIFY_SPELLS']),
+    async (req, res) => {
        updateSpell(req.params.id, req.body)
            .then(v => {
                res.setHeader('Content-Type', 'application/json;charset=utf-8')
@@ -168,7 +185,10 @@ const deleteSpell = (id) => {
            throw err
        })
 }
-router.delete('/:id/', async (req, res) => {
+router.delete(
+    '/:id/',
+    authGuard(['SUBMIT_SPELLS', 'MODIFY_SPELLS', 'DELETE_SPELLS']),
+    async (req, res) => {
        deleteSpell(req.params.id)
            .then(v => {
                res.setHeader('Content-Type', 'application/json;charset=utf-8')
--- a/api/routes/users.js
+++ b/api/routes/users.js
@@ -1,12 +1,8 @@
 'use strict'

 // Router
-const express = require('express')
-let router = express.Router()
-
-// Connection
-const connection = require('../database/bookshelf')
-const db = connection.db
+const express = require('express');
+let router = express.Router();

 // Repository
 const UserRepository = require('../repositories/user-repository');
--- a/api/routes/variables.js
+++ b/api/routes/variables.js
@@ -1,12 +1,11 @@
 'use strict'

 // Router
-const express = require('express')
-let router = express.Router()
+const express = require('express');
+let router = express.Router();

 // Connection
-const connection = require('../database/bookshelf')
-const functions = require('../functions')
+const functions = require('../functions');

 // Repository
 const VariableRepository = require('../repositories/variable-repository');
--- a/api/smtp/templates/template-sign-up.html
+++ b/api/smtp/templates/template-sign-up.html
@@ -1,5 +1,6 @@
 <!DOCTYPE html>
 <html>
+
 <head>
    <title>Template Email Auracle Inscription</title>
    <style>
@@ -44,6 +45,7 @@
            padding: 10vh 5vw;
            background: url('https://i.imgur.com/IxEKKEY.png') center center fixed repeat;
        }
+
        .wrapper:before {
            display: block;
            content: '';
@@ -62,7 +64,8 @@
            z-index: 5;
        }

-      header, footer {
+        header,
+        footer {
            text-align: center;
            color: var(--white);
            background-color: rgb(var(--black));
@@ -77,6 +80,7 @@
        }
    </style>
 </head>
+
 <body>
    <div class="wrapper">
        <div class="container">
@@ -85,8 +89,17 @@
            </header>
            <main>
                <p>Votre compte Auracle a bien été enregistré et est rattaché à cette adresse mail.</p>
-        <p>Cependant, afin de garantir la sécurité de vos données, votre compte doit être vérifié avant votre première connexion. Vous pouvez <a href="http://localhost:2814/api/users/verification/{{ user.token }}">suivre ce lien afin de confirmer votre inscription.</a></p>
-        <p>Si vous rencontrez des problèmes, n'hésitez pas à envoyer un mail à <a href="mailto:support@auracle.io">support@auracle.io</a></p>
+                <p>Cependant, afin de garantir la sécurité de vos données, votre compte doit être vérifié avant votre
+                    première connexion. Vous pouvez
+                    <a href="http: //localhost:2814/api/v1/users/verification/{{ user.token }}">
+                        suivre ce lien afin de confirmer votre inscription.
+                    </a>
+                </p>
+                <p>Si vous rencontrez des problèmes, n'hésitez pas à envoyer un mail à
+                    <a href="mailto:support@auracle.io">
+                        support@auracle.io
+                    </a>
+                </p>
                <p><strong>Merci de votre soutien !</strong></p>
                <p class="italics">Bien sincèrement, Izàc Tymos.</p>
            </main>
@@ -97,4 +110,5 @@
        </div>
    </div>
 </body>
+
 </html>