diff --git a/app/Events/TokenRevoked.php b/app/Events/TokenRevoked.php new file mode 100644 index 0000000..339937f --- /dev/null +++ b/app/Events/TokenRevoked.php @@ -0,0 +1,15 @@ +json(AuditLog::paginatedFor($request)); + } +} diff --git a/app/Http/Controllers/Admin/UserController.php b/app/Http/Controllers/Admin/UserController.php index ed26264..a931866 100644 --- a/app/Http/Controllers/Admin/UserController.php +++ b/app/Http/Controllers/Admin/UserController.php @@ -2,7 +2,9 @@ namespace App\Http\Controllers\Admin; +use App\Events\UserDeactivated; use App\Http\Controllers\Controller; +use App\Models\AuditLog; use App\Models\User; use Illuminate\Http\Request; use Illuminate\Support\Facades\DB; @@ -43,6 +45,8 @@ class UserController extends Controller { $user->update(['approved_at' => now()]); + AuditLog::record(request(), 'user.approved', 'user', $user->id, $user->email); + return response()->json($this->present($user)); } @@ -65,6 +69,12 @@ class UserController extends Controller $user->assignRole($data['role']); + AuditLog::record($request, 'user.created', 'user', $user->id, $user->email, [ + 'name' => $user->name, + 'email' => $user->email, + 'role' => $data['role'], + ]); + return response()->json($this->present($user), 201); } @@ -82,6 +92,13 @@ class UserController extends Controller abort(422, __('messages.cannot_remove_own_admin_role')); } + $before = [ + 'name' => $user->name, + 'email' => $user->email, + 'is_active' => $user->is_active, + 'role' => $user->getRoleNames()->first(), + ]; + $user->update([ 'name' => $data['name'], 'email' => $data['email'], @@ -91,7 +108,15 @@ class UserController extends Controller $user->syncRoles([$data['role']]); - return response()->json($this->present($user->fresh())); + $fresh = $user->fresh(); + + if ($before['is_active'] && ! $fresh->is_active) { + UserDeactivated::dispatch($fresh); + } + + $this->recordUserUpdate($request, $fresh, $before, isset($data['password'])); + + return response()->json($this->present($fresh)); } /** @@ -106,6 +131,8 @@ class UserController extends Controller abort(422, __('messages.cannot_delete_last_admin')); } + AuditLog::record($request, 'user.deleted', 'user', $user->id, $user->email); + $user->delete(); return response()->noContent(); @@ -116,6 +143,8 @@ class UserController extends Controller $user = User::onlyTrashed()->findOrFail($id); $user->restore(); + AuditLog::record(request(), 'user.restored', 'user', $user->id, $user->email); + return response()->json($this->present($user)); } @@ -126,6 +155,8 @@ class UserController extends Controller { $user = User::onlyTrashed()->findOrFail($id); + AuditLog::record($request, 'user.force_deleted', 'user', $user->id, $user->email); + $user->forceDelete(); return response()->noContent(); @@ -168,6 +199,11 @@ class UserController extends Controller 'updated_at' => now(), ]); + AuditLog::record($request, 'user.app_role_assigned', 'user', $user->id, $user->email, [ + 'client_id' => $data['client_id'], + 'role' => $data['role'], + ]); + return response()->json($data, 201); } @@ -179,9 +215,44 @@ class UserController extends Controller ->where('role', $role) ->delete(); + AuditLog::record(request(), 'user.app_role_revoked', 'user', $user->id, $user->email, [ + 'client_id' => $clientId, + 'role' => $role, + ]); + return response()->noContent(); } + /** + * Solo registra los campos que efectivamente cambiaron (nunca la contraseña + * en sí, solo si cambió o no) — evita ruido en el audit log en updates que + * no tocan nada relevante. + */ + private function recordUserUpdate(Request $request, User $user, array $before, bool $passwordChanged): void + { + $after = [ + 'name' => $user->name, + 'email' => $user->email, + 'is_active' => $user->is_active, + 'role' => $user->getRoleNames()->first(), + ]; + + $changes = []; + foreach ($before as $field => $previous) { + if ($previous !== $after[$field]) { + $changes[$field] = ['from' => $previous, 'to' => $after[$field]]; + } + } + + if ($passwordChanged) { + $changes['password'] = ['changed' => true]; + } + + if ($changes !== []) { + AuditLog::record($request, 'user.updated', 'user', $user->id, $user->email, $changes); + } + } + private function present(User $user): array { return [ diff --git a/app/Http/Controllers/Admin/UserSessionController.php b/app/Http/Controllers/Admin/UserSessionController.php new file mode 100644 index 0000000..915335e --- /dev/null +++ b/app/Http/Controllers/Admin/UserSessionController.php @@ -0,0 +1,37 @@ +json(UserSessions::active($user)); + } + + public function destroy(Request $request, User $user, string $tokenId) + { + abort_unless(UserSessions::revoke($user, $tokenId), 404); + + AuditLog::record($request, 'user.session_revoked', 'user', $user->id, $user->email); + + return response()->noContent(); + } + + public function destroyAll(Request $request, User $user) + { + $count = UserSessions::revokeAll($user); + + AuditLog::record($request, 'user.sessions_revoked_all', 'user', $user->id, $user->email, [ + 'count' => $count, + ]); + + return response()->noContent(); + } +} diff --git a/app/Http/Controllers/Api/AuditLogController.php b/app/Http/Controllers/Api/AuditLogController.php new file mode 100644 index 0000000..6873b75 --- /dev/null +++ b/app/Http/Controllers/Api/AuditLogController.php @@ -0,0 +1,43 @@ + ['users:read']]], + tags: ['Audit'], + parameters: [ + new OA\Parameter(name: 'action', in: 'query', required: false, description: 'Filtrar por acción exacta (ej. user.updated)', schema: new OA\Schema(type: 'string')), + new OA\Parameter(name: 'subject_type', in: 'query', required: false, description: 'user | client', schema: new OA\Schema(type: 'string')), + new OA\Parameter(name: 'per_page', in: 'query', required: false, description: '5-100, default 25', schema: new OA\Schema(type: 'integer')), + ], + responses: [ + new OA\Response(response: 200, description: 'Listado paginado'), + new OA\Response(response: 403, description: 'Sin permiso audit.view'), + ] + )] + public function index(Request $request) + { + $actor = $request->user('api'); + abort_if($actor && ! $actor->can('audit.view'), 403); + + return response()->json(AuditLog::paginatedFor($request)); + } +} diff --git a/app/Http/Controllers/Api/ClientController.php b/app/Http/Controllers/Api/ClientController.php index 0f1d171..f2df5b4 100644 --- a/app/Http/Controllers/Api/ClientController.php +++ b/app/Http/Controllers/Api/ClientController.php @@ -3,7 +3,10 @@ namespace App\Http\Controllers\Api; use App\Http\Controllers\Controller; +use App\Models\AuditLog; use App\Models\User; +use App\Support\ClientSecretRotation; +use App\Support\TokenRevocation; use Illuminate\Http\Request; use Illuminate\Routing\Controllers\HasMiddleware; use Illuminate\Routing\Controllers\Middleware; @@ -30,7 +33,7 @@ class ClientController extends Controller implements HasMiddleware { return [ new Middleware(CheckToken::using('account:read'), only: ['index']), - new Middleware(CheckToken::using('account:write'), only: ['store', 'update', 'destroy']), + new Middleware(CheckToken::using('account:write'), only: ['store', 'update', 'destroy', 'rotateSecret']), ]; } @@ -107,6 +110,11 @@ class ClientController extends Controller implements HasMiddleware 'revoked' => false, ]); + AuditLog::record($request, 'client.created', 'client', $client->id, $client->name, [ + 'grant_type' => $data['grant_type'], + 'confidential' => $confidential, + ]); + return response()->json([ 'client' => $client, 'plain_secret' => $client->plainSecret, @@ -142,6 +150,36 @@ class ClientController extends Controller implements HasMiddleware return response()->json($client); } + #[OA\Post( + path: '/clients/{client}/rotate-secret', + summary: 'Rotar el secret de un client confidencial (el anterior sigue valiendo por 48hs)', + description: 'El secret anterior no se corta al instante: sigue siendo válido durante un periodo de gracia (48hs), para no romper integraciones ya desplegadas que todavía no se actualizaron al secret nuevo.', + security: [['oauth2' => ['account:write']]], + tags: ['Account'], + parameters: [new OA\Parameter(name: 'client', in: 'path', required: true, schema: new OA\Schema(type: 'string'))], + responses: [ + new OA\Response(response: 200, description: 'Secret rotado (incluye plain_secret una sola vez)'), + new OA\Response(response: 404, description: 'No es tuyo o no existe'), + new OA\Response(response: 422, description: 'El cliente no es confidencial (no tiene secret)'), + ] + )] + public function rotateSecret(Request $request, Client $client) + { + abort_unless($client->owner_id === $this->requireUser($request)->id, 404); + abort_unless($client->confidential(), 422, __('messages.client_not_confidential')); + + $plainSecret = ClientSecretRotation::rotate($client); + + AuditLog::record($request, 'client.secret_rotated', 'client', $client->id, $client->name, [ + 'previous_secret_expires_at' => $client->previous_secret_expires_at, + ]); + + return response()->json([ + 'plain_secret' => $plainSecret, + 'previous_secret_expires_at' => $client->previous_secret_expires_at, + ]); + } + #[OA\Delete( path: '/clients/{client}', summary: 'Revocar uno de tus clientes OAuth (y sus tokens)', @@ -157,8 +195,17 @@ class ClientController extends Controller implements HasMiddleware { abort_unless($client->owner_id === $this->requireUser($request)->id, 404); + $tokens = $client->tokens()->where('revoked', false)->get(); + $client->update(['revoked' => true]); - $client->tokens()->update(['revoked' => true]); + + foreach ($tokens as $token) { + TokenRevocation::revoke($token); + } + + AuditLog::record($request, 'client.revoked', 'client', $client->id, $client->name, [ + 'tokens_revoked' => $tokens->count(), + ]); return response()->noContent(); } diff --git a/app/Http/Controllers/Api/UserController.php b/app/Http/Controllers/Api/UserController.php index fcfb95f..378ef1d 100644 --- a/app/Http/Controllers/Api/UserController.php +++ b/app/Http/Controllers/Api/UserController.php @@ -2,6 +2,7 @@ namespace App\Http\Controllers\Api; +use App\Events\UserDeactivated; use App\Http\Controllers\Controller; use App\Models\User; use Illuminate\Http\Request; @@ -197,6 +198,8 @@ class UserController extends Controller implements HasMiddleware abort(422, __('messages.cannot_remove_own_admin_role')); } + $wasActive = $user->is_active; + $user->update([ ...array_diff_key($data, array_flip(['password', 'role'])), ...(isset($data['password']) ? ['password' => Hash::make($data['password'])] : []), @@ -206,7 +209,13 @@ class UserController extends Controller implements HasMiddleware $user->syncRoles([$data['role']]); } - return response()->json($this->present($user->fresh())); + $fresh = $user->fresh(); + + if ($wasActive && ! $fresh->is_active) { + UserDeactivated::dispatch($fresh); + } + + return response()->json($this->present($fresh)); } #[OA\Delete( diff --git a/app/Http/Controllers/Api/UserSessionController.php b/app/Http/Controllers/Api/UserSessionController.php new file mode 100644 index 0000000..604b8b5 --- /dev/null +++ b/app/Http/Controllers/Api/UserSessionController.php @@ -0,0 +1,98 @@ + ['users:read']]], + tags: ['Users'], + parameters: [new OA\Parameter(name: 'user', in: 'path', required: true, schema: new OA\Schema(type: 'integer'))], + responses: [ + new OA\Response(response: 200, description: 'Listado de tokens activos'), + new OA\Response(response: 403, description: 'Sin permiso users.view'), + ] + )] + public function index(Request $request, User $user) + { + $actor = $request->user('api'); + abort_if($actor && ! $actor->can('users.view'), 403); + + return response()->json(UserSessions::active($user)); + } + + #[OA\Delete( + path: '/users/{user}/sessions/{tokenId}', + summary: 'Revocar un token OAuth activo de un usuario', + description: 'Requiere el permiso users.update (o un token client_credentials, servicio de confianza).', + security: [['oauth2' => ['users:write']]], + tags: ['Users'], + parameters: [ + new OA\Parameter(name: 'user', in: 'path', required: true, schema: new OA\Schema(type: 'integer')), + new OA\Parameter(name: 'tokenId', in: 'path', required: true, schema: new OA\Schema(type: 'string')), + ], + responses: [ + new OA\Response(response: 204, description: 'Token revocado'), + new OA\Response(response: 403, description: 'Sin permiso users.update'), + new OA\Response(response: 404, description: 'El token no existe o no pertenece a ese usuario'), + ] + )] + public function destroy(Request $request, User $user, string $tokenId) + { + $actor = $request->user('api'); + abort_if($actor && ! $actor->can('users.update'), 403); + + abort_unless(UserSessions::revoke($user, $tokenId), 404); + + AuditLog::record($request, 'user.session_revoked', 'user', $user->id, $user->email); + + return response()->noContent(); + } + + #[OA\Delete( + path: '/users/{user}/sessions', + summary: 'Revocar todos los tokens OAuth activos de un usuario', + description: 'Requiere el permiso users.update (o un token client_credentials, servicio de confianza).', + security: [['oauth2' => ['users:write']]], + tags: ['Users'], + parameters: [new OA\Parameter(name: 'user', in: 'path', required: true, schema: new OA\Schema(type: 'integer'))], + responses: [ + new OA\Response(response: 204, description: 'Todos los tokens revocados'), + new OA\Response(response: 403, description: 'Sin permiso users.update'), + ] + )] + public function destroyAll(Request $request, User $user) + { + $actor = $request->user('api'); + abort_if($actor && ! $actor->can('users.update'), 403); + + $count = UserSessions::revokeAll($user); + + AuditLog::record($request, 'user.sessions_revoked_all', 'user', $user->id, $user->email, [ + 'count' => $count, + ]); + + return response()->noContent(); + } +} diff --git a/app/Http/Controllers/Api/WebhookController.php b/app/Http/Controllers/Api/WebhookController.php new file mode 100644 index 0000000..f6462b4 --- /dev/null +++ b/app/Http/Controllers/Api/WebhookController.php @@ -0,0 +1,220 @@ + ['account:read']]], + tags: ['Account'], + parameters: [new OA\Parameter(name: 'client', in: 'path', required: true, schema: new OA\Schema(type: 'string'))], + responses: [ + new OA\Response(response: 200, description: 'Listado de webhooks'), + new OA\Response(response: 404, description: 'No es tuyo o no existe'), + ] + )] + public function index(Request $request, Client $client) + { + abort_unless($client->owner_id === $this->requireUser($request)->id, 404); + + return response()->json( + WebhookEndpoint::where('client_id', $client->id) + ->latest('created_at') + ->get() + ->map(fn (WebhookEndpoint $endpoint) => WebhookEndpoints::present($endpoint)) + ); + } + + #[OA\Post( + path: '/clients/{client}/webhooks', + summary: 'Registrar un webhook nuevo en uno de tus clientes OAuth', + description: 'Eventos disponibles: token.revoked (se revocó un token de este client), user.deactivated (un usuario con token vigente para este client fue desactivado). El secret se devuelve una sola vez, usalo para verificar la firma HMAC-SHA256 en el header X-Webhook-Signature.', + security: [['oauth2' => ['account:write']]], + tags: ['Account'], + parameters: [new OA\Parameter(name: 'client', in: 'path', required: true, schema: new OA\Schema(type: 'string'))], + requestBody: new OA\RequestBody( + required: true, + content: new OA\JsonContent( + required: ['url', 'events'], + properties: [ + new OA\Property(property: 'url', type: 'string', format: 'uri'), + new OA\Property(property: 'events', type: 'array', items: new OA\Items(type: 'string', enum: ['token.revoked', 'user.deactivated'])), + ] + ) + ), + responses: [ + new OA\Response(response: 201, description: 'Webhook creado (incluye secret una sola vez)'), + new OA\Response(response: 404, description: 'No es tuyo o no existe'), + ] + )] + public function store(Request $request, Client $client) + { + abort_unless($client->owner_id === $this->requireUser($request)->id, 404); + + $data = $request->validate([ + 'url' => ['required', 'url', 'max:2048', new SafeWebhookUrl()], + 'events' => ['required', 'array', 'min:1'], + 'events.*' => [Rule::in(WebhookEndpoints::EVENTS)], + ]); + + $secret = Str::random(40); + + $endpoint = WebhookEndpoint::create([ + 'client_id' => $client->id, + 'url' => $data['url'], + 'secret' => $secret, + 'events' => $data['events'], + 'active' => true, + ]); + + AuditLog::record($request, 'client.webhook_created', 'client', $client->id, $client->name, [ + 'url' => $data['url'], + 'events' => $data['events'], + ]); + + return response()->json([ + ...WebhookEndpoints::present($endpoint), + 'secret' => $secret, + ], 201); + } + + #[OA\Put( + path: '/clients/{client}/webhooks/{webhook}', + summary: 'Editar un webhook (url, eventos o activo/pausado)', + security: [['oauth2' => ['account:write']]], + tags: ['Account'], + parameters: [ + new OA\Parameter(name: 'client', in: 'path', required: true, schema: new OA\Schema(type: 'string')), + new OA\Parameter(name: 'webhook', in: 'path', required: true, schema: new OA\Schema(type: 'integer')), + ], + responses: [ + new OA\Response(response: 200, description: 'Webhook actualizado'), + new OA\Response(response: 404, description: 'No es tuyo o no existe'), + ] + )] + public function update(Request $request, Client $client, WebhookEndpoint $webhook) + { + abort_unless($client->owner_id === $this->requireUser($request)->id, 404); + abort_unless($webhook->client_id === $client->id, 404); + + $data = $request->validate([ + 'url' => ['sometimes', 'url', 'max:2048', new SafeWebhookUrl()], + 'events' => ['sometimes', 'array', 'min:1'], + 'events.*' => [Rule::in(WebhookEndpoints::EVENTS)], + 'active' => ['sometimes', 'boolean'], + ]); + + $webhook->update($data); + + return response()->json(WebhookEndpoints::present($webhook->fresh())); + } + + #[OA\Delete( + path: '/clients/{client}/webhooks/{webhook}', + summary: 'Borrar un webhook', + security: [['oauth2' => ['account:write']]], + tags: ['Account'], + parameters: [ + new OA\Parameter(name: 'client', in: 'path', required: true, schema: new OA\Schema(type: 'string')), + new OA\Parameter(name: 'webhook', in: 'path', required: true, schema: new OA\Schema(type: 'integer')), + ], + responses: [ + new OA\Response(response: 204, description: 'Webhook borrado'), + new OA\Response(response: 404, description: 'No es tuyo o no existe'), + ] + )] + public function destroy(Request $request, Client $client, WebhookEndpoint $webhook) + { + abort_unless($client->owner_id === $this->requireUser($request)->id, 404); + abort_unless($webhook->client_id === $client->id, 404); + + AuditLog::record($request, 'client.webhook_deleted', 'client', $client->id, $client->name, [ + 'url' => $webhook->url, + ]); + + $webhook->delete(); + + return response()->noContent(); + } + + #[OA\Get( + path: '/clients/{client}/webhooks/{webhook}/deliveries', + summary: 'Historial paginado de intentos de entrega de un webhook', + security: [['oauth2' => ['account:read']]], + tags: ['Account'], + parameters: [ + new OA\Parameter(name: 'client', in: 'path', required: true, schema: new OA\Schema(type: 'string')), + new OA\Parameter(name: 'webhook', in: 'path', required: true, schema: new OA\Schema(type: 'integer')), + new OA\Parameter(name: 'per_page', in: 'query', required: false, schema: new OA\Schema(type: 'integer')), + ], + responses: [ + new OA\Response(response: 200, description: 'Listado paginado de entregas'), + new OA\Response(response: 404, description: 'No es tuyo o no existe'), + ] + )] + public function deliveries(Request $request, Client $client, WebhookEndpoint $webhook) + { + abort_unless($client->owner_id === $this->requireUser($request)->id, 404); + abort_unless($webhook->client_id === $client->id, 404); + + return response()->json(WebhookDelivery::paginatedFor($webhook, $request)); + } + + #[OA\Post( + path: '/clients/{client}/webhooks/{webhook}/deliveries/{delivery}/retry', + summary: 'Reintentar manualmente una entrega puntual', + security: [['oauth2' => ['account:write']]], + tags: ['Account'], + parameters: [ + new OA\Parameter(name: 'client', in: 'path', required: true, schema: new OA\Schema(type: 'string')), + new OA\Parameter(name: 'webhook', in: 'path', required: true, schema: new OA\Schema(type: 'integer')), + new OA\Parameter(name: 'delivery', in: 'path', required: true, schema: new OA\Schema(type: 'integer')), + ], + responses: [ + new OA\Response(response: 200, description: 'Reintento encolado'), + new OA\Response(response: 404, description: 'No es tuyo o no existe'), + ] + )] + public function retryDelivery(Request $request, Client $client, WebhookEndpoint $webhook, WebhookDelivery $delivery) + { + abort_unless($client->owner_id === $this->requireUser($request)->id, 404); + abort_unless($webhook->client_id === $client->id, 404); + abort_unless($delivery->webhook_endpoint_id === $webhook->id, 404); + + SendWebhookJob::dispatch($delivery); + + return response()->json(['queued' => true]); + } + + private function requireUser(Request $request): User + { + return $request->user('api') ?? abort(422, __('messages.self_service_requires_user')); + } +} diff --git a/app/Http/Controllers/Auth/AuthController.php b/app/Http/Controllers/Auth/AuthController.php index d221bdb..65769f4 100644 --- a/app/Http/Controllers/Auth/AuthController.php +++ b/app/Http/Controllers/Auth/AuthController.php @@ -5,6 +5,7 @@ namespace App\Http\Controllers\Auth; use App\Http\Controllers\Controller; use App\Models\LoginEvent; use App\Models\User; +use App\Support\TwoFactorVerification; use Database\Seeders\RolesAndPermissionsSeeder; use Illuminate\Http\Request; use Illuminate\Support\Facades\Auth; @@ -73,33 +74,76 @@ class AuthController extends Controller 'password' => ['required', 'string'], ]); - if (! Auth::attempt($credentials, $request->boolean('remember'))) { + // Auth::validate() (no attempt()): solo chequea credenciales, no + // loguea todavía — necesitamos poder frenar acá mismo si el usuario + // tiene 2FA activo, antes de que exista sesión autenticada. + if (! Auth::validate($credentials)) { + $this->recordFailedLogin($request); + throw ValidationException::withMessages([ 'email' => __('messages.invalid_credentials'), ]); } - if (! Auth::user()->is_active) { - Auth::logout(); + $user = User::where('email', $credentials['email'])->first(); + if (! $user->is_active) { throw ValidationException::withMessages([ 'email' => __('messages.account_deactivated'), ]); } - if (Auth::user()->isPending()) { - Auth::logout(); - + if ($user->isPending()) { throw ValidationException::withMessages([ 'email' => __('messages.account_pending_approval'), ]); } + if ($user->hasTwoFactorEnabled()) { + $request->session()->put('login.mfa_user_id', $user->id); + $request->session()->put('login.mfa_remember', $request->boolean('remember')); + + return response()->json(['two_factor' => true]); + } + + Auth::login($user, $request->boolean('remember')); $request->session()->regenerate(); - $this->recordSessionLogin($request, Auth::user()); + $this->recordSessionLogin($request, $user); return response()->json([ - 'user' => $this->present(Auth::user()), + 'user' => $this->present($user), + 'intended' => $request->session()->pull('url.intended'), + ]); + } + + /** + * Segundo paso del login cuando el usuario tiene 2FA activo: recibe un + * código TOTP o de recuperación y, si es válido, recién ahí crea la sesión. + */ + public function loginTwoFactor(Request $request) + { + $data = $request->validate([ + 'code' => ['required', 'string'], + ]); + + $userId = $request->session()->get('login.mfa_user_id'); + $user = $userId ? User::find($userId) : null; + + if (! $user || ! TwoFactorVerification::verify($user, $data['code'])) { + throw ValidationException::withMessages([ + 'code' => __('messages.invalid_two_factor_code'), + ]); + } + + $remember = $request->session()->pull('login.mfa_remember', false); + $request->session()->forget('login.mfa_user_id'); + + Auth::login($user, $remember); + $request->session()->regenerate(); + $this->recordSessionLogin($request, $user); + + return response()->json([ + 'user' => $this->present($user), 'intended' => $request->session()->pull('url.intended'), ]); } @@ -124,6 +168,23 @@ class AuthController extends Controller 'user_id' => $user->id, 'client_id' => null, 'type' => 'session', + 'outcome' => 'success', + 'ip_address' => $request->ip(), + 'user_agent' => $request->userAgent(), + 'created_at' => now(), + ]); + } + + // Solo credenciales inválidas (la señal relevante para detectar fuerza + // bruta) — cuenta desactivada o pendiente de aprobación no cuenta como + // "fallo" para esta métrica, son estados de cuenta, no intentos de ataque. + private function recordFailedLogin(Request $request): void + { + LoginEvent::create([ + 'user_id' => null, + 'client_id' => null, + 'type' => 'session', + 'outcome' => 'failure', 'ip_address' => $request->ip(), 'user_agent' => $request->userAgent(), 'created_at' => now(), @@ -136,6 +197,7 @@ class AuthController extends Controller ...$user->toArray(), 'roles' => $user->getRoleNames(), 'permissions' => $user->getAllPermissions()->pluck('name'), + 'two_factor_enabled' => $user->hasTwoFactorEnabled(), ]; } } diff --git a/app/Http/Controllers/Auth/PasswordResetController.php b/app/Http/Controllers/Auth/PasswordResetController.php new file mode 100644 index 0000000..561210a --- /dev/null +++ b/app/Http/Controllers/Auth/PasswordResetController.php @@ -0,0 +1,63 @@ +validate(['email' => ['required', 'string', 'email']]); + + Password::sendResetLink($request->only('email')); + + return response()->json(['message' => __('messages.password_reset_link_sent')]); + } + + /** + * Confirma el restablecimiento con el token del email. Si sale bien, + * cierra todas las sesiones OAuth activas de la cuenta — el motivo más + * común para resetear una contraseña es sospechar que se filtró, así + * que no tiene sentido dejar vigente lo que se emitió con la vieja. + */ + public function resetPassword(Request $request) + { + $data = $request->validate([ + 'token' => ['required', 'string'], + 'email' => ['required', 'string', 'email'], + 'password' => ['required', 'string', 'min:8', 'confirmed'], + ]); + + $status = Password::reset( + $data, + function (User $user, string $password) use ($request) { + $user->forceFill(['password' => Hash::make($password)])->save(); + + $revoked = UserSessions::revokeAll($user); + + AuditLog::record($request, 'user.password_reset', 'user', $user->id, $user->email, [ + 'sessions_revoked' => $revoked, + ]); + } + ); + + if ($status !== Password::PASSWORD_RESET) { + throw ValidationException::withMessages(['email' => __($status)]); + } + + return response()->noContent(); + } +} diff --git a/app/Http/Controllers/Auth/TwoFactorController.php b/app/Http/Controllers/Auth/TwoFactorController.php new file mode 100644 index 0000000..6aebd29 --- /dev/null +++ b/app/Http/Controllers/Auth/TwoFactorController.php @@ -0,0 +1,131 @@ +user(); + + abort_if($user->hasTwoFactorEnabled(), 422, __('messages.two_factor_already_enabled')); + + $google2fa = new Google2FA(); + $secret = $google2fa->generateSecretKey(); + + $user->forceFill([ + 'two_factor_secret' => $secret, + 'two_factor_recovery_codes' => null, + 'two_factor_confirmed_at' => null, + ])->save(); + + return response()->json([ + 'secret' => $secret, + 'otpauth_url' => $google2fa->getQRCodeUrl(config('app.name'), $user->email, $secret), + ]); + } + + /** + * Confirma la activación con un código real de la app autenticadora. + * Recién acá se generan y devuelven los códigos de recuperación (una sola vez). + */ + public function confirm(Request $request) + { + $data = $request->validate([ + 'code' => ['required', 'string'], + ]); + + $user = $request->user(); + + abort_if(! $user->two_factor_secret, 422, __('messages.two_factor_not_pending')); + + if (! (new Google2FA())->verifyKey($user->two_factor_secret, $data['code'])) { + throw ValidationException::withMessages([ + 'code' => __('messages.invalid_two_factor_code'), + ]); + } + + $recoveryCodes = $this->generateRecoveryCodes(); + + $user->forceFill([ + 'two_factor_recovery_codes' => $recoveryCodes, + 'two_factor_confirmed_at' => now(), + ])->save(); + + AuditLog::record($request, 'user.2fa_enabled', 'user', $user->id, $user->email); + + return response()->json(['recovery_codes' => $recoveryCodes]); + } + + public function disable(Request $request) + { + $data = $request->validate([ + 'password' => ['required', 'string'], + ]); + + $user = $request->user(); + + if (! Hash::check($data['password'], $user->password)) { + throw ValidationException::withMessages([ + 'password' => __('messages.invalid_password'), + ]); + } + + $user->forceFill([ + 'two_factor_secret' => null, + 'two_factor_recovery_codes' => null, + 'two_factor_confirmed_at' => null, + ])->save(); + + AuditLog::record($request, 'user.2fa_disabled', 'user', $user->id, $user->email); + + return response()->noContent(); + } + + /** + * Invalida los códigos de recuperación anteriores y genera un juego nuevo + * (una sola vez más, igual que en la confirmación inicial). + */ + public function regenerateRecoveryCodes(Request $request) + { + $data = $request->validate([ + 'password' => ['required', 'string'], + ]); + + $user = $request->user(); + + abort_unless($user->hasTwoFactorEnabled(), 422, __('messages.two_factor_not_enabled')); + + if (! Hash::check($data['password'], $user->password)) { + throw ValidationException::withMessages([ + 'password' => __('messages.invalid_password'), + ]); + } + + $recoveryCodes = $this->generateRecoveryCodes(); + $user->forceFill(['two_factor_recovery_codes' => $recoveryCodes])->save(); + + AuditLog::record($request, 'user.2fa_recovery_regenerated', 'user', $user->id, $user->email); + + return response()->json(['recovery_codes' => $recoveryCodes]); + } + + private function generateRecoveryCodes(): array + { + return collect(range(1, 8)) + ->map(fn () => Str::upper(Str::random(4).'-'.Str::random(4))) + ->all(); + } +} diff --git a/app/Http/Controllers/OAuth/AuthorizationEventController.php b/app/Http/Controllers/OAuth/AuthorizationEventController.php new file mode 100644 index 0000000..94119a0 --- /dev/null +++ b/app/Http/Controllers/OAuth/AuthorizationEventController.php @@ -0,0 +1,39 @@ +validate([ + 'client_id' => ['required', 'string', Rule::exists('oauth_clients', 'id')], + 'outcome' => ['required', Rule::in(['attempted', 'approved', 'denied'])], + 'scopes' => ['array'], + 'scopes.*' => ['string'], + ]); + + OAuthAuthorizationEvent::create([ + 'user_id' => $request->user()->id, + 'client_id' => $data['client_id'], + 'outcome' => $data['outcome'], + 'scopes' => $data['scopes'] ?? [], + 'ip_address' => $request->ip(), + 'user_agent' => $request->userAgent(), + 'created_at' => now(), + ]); + + return response()->noContent(); + } +} diff --git a/app/Http/Controllers/OAuth/AuthorizedAppController.php b/app/Http/Controllers/OAuth/AuthorizedAppController.php index 4aad1a3..b7c59ca 100644 --- a/app/Http/Controllers/OAuth/AuthorizedAppController.php +++ b/app/Http/Controllers/OAuth/AuthorizedAppController.php @@ -3,6 +3,7 @@ namespace App\Http\Controllers\OAuth; use App\Http\Controllers\Controller; +use App\Support\TokenRevocation; use Illuminate\Http\Request; class AuthorizedAppController extends Controller @@ -28,8 +29,7 @@ class AuthorizedAppController extends Controller abort_unless($token, 404); - $token->revoke(); - $token->refreshToken?->revoke(); + TokenRevocation::revoke($token); return response()->noContent(); } diff --git a/app/Http/Controllers/OAuth/ClientController.php b/app/Http/Controllers/OAuth/ClientController.php index 3b29318..23ef009 100644 --- a/app/Http/Controllers/OAuth/ClientController.php +++ b/app/Http/Controllers/OAuth/ClientController.php @@ -3,6 +3,9 @@ namespace App\Http\Controllers\OAuth; use App\Http\Controllers\Controller; +use App\Models\AuditLog; +use App\Support\ClientSecretRotation; +use App\Support\TokenRevocation; use Illuminate\Http\Request; use Illuminate\Support\Str; use Illuminate\Validation\Rule; @@ -55,6 +58,11 @@ class ClientController extends Controller 'revoked' => false, ]); + AuditLog::record($request, 'client.created', 'client', $client->id, $client->name, [ + 'grant_type' => $data['grant_type'], + 'confidential' => $confidential, + ]); + return response()->json([ 'client' => $client, 'plain_secret' => $client->plainSecret, @@ -82,6 +90,28 @@ class ClientController extends Controller return response()->json($client); } + /** + * Rotate a confidential client's secret. The previous secret keeps + * working for a grace period so deployed integrations don't break + * instantly (see App\Support\ClientSecretRotation). + */ + public function rotateSecret(Request $request, Client $client) + { + abort_unless($client->owner_id === $request->user()->id, 404); + abort_unless($client->confidential(), 422, __('messages.client_not_confidential')); + + $plainSecret = ClientSecretRotation::rotate($client); + + AuditLog::record($request, 'client.secret_rotated', 'client', $client->id, $client->name, [ + 'previous_secret_expires_at' => $client->previous_secret_expires_at, + ]); + + return response()->json([ + 'plain_secret' => $plainSecret, + 'previous_secret_expires_at' => $client->previous_secret_expires_at, + ]); + } + /** * Revoke (soft-delete) a client and its tokens. */ @@ -89,8 +119,17 @@ class ClientController extends Controller { abort_unless($client->owner_id === $request->user()->id, 404); + $tokens = $client->tokens()->where('revoked', false)->get(); + $client->update(['revoked' => true]); - $client->tokens()->update(['revoked' => true]); + + foreach ($tokens as $token) { + TokenRevocation::revoke($token); + } + + AuditLog::record($request, 'client.revoked', 'client', $client->id, $client->name, [ + 'tokens_revoked' => $tokens->count(), + ]); return response()->noContent(); } diff --git a/app/Http/Controllers/OAuth/WebhookController.php b/app/Http/Controllers/OAuth/WebhookController.php new file mode 100644 index 0000000..fe88c96 --- /dev/null +++ b/app/Http/Controllers/OAuth/WebhookController.php @@ -0,0 +1,124 @@ +owner_id === $request->user()->id, 404); + + return response()->json( + WebhookEndpoint::where('client_id', $client->id) + ->latest('created_at') + ->get() + ->map(fn (WebhookEndpoint $endpoint) => WebhookEndpoints::present($endpoint)) + ); + } + + /** + * Register a new webhook endpoint for one of the user's own clients. + */ + public function store(Request $request, Client $client) + { + abort_unless($client->owner_id === $request->user()->id, 404); + + $data = $request->validate([ + 'url' => ['required', 'url', 'max:2048', new SafeWebhookUrl()], + 'events' => ['required', 'array', 'min:1'], + 'events.*' => [Rule::in(WebhookEndpoints::EVENTS)], + ]); + + $secret = Str::random(40); + + $endpoint = WebhookEndpoint::create([ + 'client_id' => $client->id, + 'url' => $data['url'], + 'secret' => $secret, + 'events' => $data['events'], + 'active' => true, + ]); + + AuditLog::record($request, 'client.webhook_created', 'client', $client->id, $client->name, [ + 'url' => $data['url'], + 'events' => $data['events'], + ]); + + return response()->json([ + ...WebhookEndpoints::present($endpoint), + 'secret' => $secret, + ], 201); + } + + public function update(Request $request, Client $client, WebhookEndpoint $webhook) + { + abort_unless($client->owner_id === $request->user()->id, 404); + abort_unless($webhook->client_id === $client->id, 404); + + $data = $request->validate([ + 'url' => ['sometimes', 'url', 'max:2048', new SafeWebhookUrl()], + 'events' => ['sometimes', 'array', 'min:1'], + 'events.*' => [Rule::in(WebhookEndpoints::EVENTS)], + 'active' => ['sometimes', 'boolean'], + ]); + + $webhook->update($data); + + return response()->json(WebhookEndpoints::present($webhook->fresh())); + } + + public function destroy(Request $request, Client $client, WebhookEndpoint $webhook) + { + abort_unless($client->owner_id === $request->user()->id, 404); + abort_unless($webhook->client_id === $client->id, 404); + + AuditLog::record($request, 'client.webhook_deleted', 'client', $client->id, $client->name, [ + 'url' => $webhook->url, + ]); + + $webhook->delete(); + + return response()->noContent(); + } + + /** + * Historial paginado de intentos de entrega de un webhook. + */ + public function deliveries(Request $request, Client $client, WebhookEndpoint $webhook) + { + abort_unless($client->owner_id === $request->user()->id, 404); + abort_unless($webhook->client_id === $client->id, 404); + + return response()->json(WebhookDelivery::paginatedFor($webhook, $request)); + } + + /** + * Reintento manual de una entrega puntual — vuelve a encolar el mismo + * registro (acumula el intento en su historial, no crea uno nuevo). + */ + public function retryDelivery(Request $request, Client $client, WebhookEndpoint $webhook, WebhookDelivery $delivery) + { + abort_unless($client->owner_id === $request->user()->id, 404); + abort_unless($webhook->client_id === $client->id, 404); + abort_unless($delivery->webhook_endpoint_id === $webhook->id, 404); + + SendWebhookJob::dispatch($delivery); + + return response()->json(['queued' => true]); + } +} diff --git a/app/Jobs/SendWebhookJob.php b/app/Jobs/SendWebhookJob.php new file mode 100644 index 0000000..db9d2d7 --- /dev/null +++ b/app/Jobs/SendWebhookJob.php @@ -0,0 +1,89 @@ +delivery->endpoint; + + // El endpoint pudo haberse borrado o desactivado entre que se + // encoló el job y que se procesó — no tiene sentido reintentar. + if (! $endpoint || ! $endpoint->active) { + return; + } + + // Re-chequeo anti-SSRF: la URL ya se validó al crear/editar el + // webhook, pero un dominio público en ese momento puede resolver a + // una IP interna más tarde (DNS rebinding). No reintentamos esto — + // si sigue sin ser seguro en el próximo intento, va a fallar igual. + if (! WebhookEndpoints::isSafeUrl($endpoint->url)) { + $this->delivery->update([ + 'response_body' => 'Bloqueado: la URL resuelve a una dirección privada/reservada.', + ]); + + return; + } + + $body = json_encode([ + 'event' => $this->delivery->event, + 'data' => $this->delivery->payload, + ]); + + $signature = hash_hmac('sha256', $body, $endpoint->secret); + + $this->delivery->increment('attempts'); + + try { + $response = Http::timeout(5) + ->withHeaders([ + 'Content-Type' => 'application/json', + 'X-Webhook-Event' => $this->delivery->event, + 'X-Webhook-Signature' => 'sha256='.$signature, + ]) + ->withBody($body, 'application/json') + ->post($endpoint->url); + + $this->delivery->update([ + 'response_status' => $response->status(), + 'response_body' => Str::limit($response->body(), 1000), + 'delivered_at' => $response->successful() ? now() : null, + ]); + + if (! $response->successful()) { + throw new \RuntimeException("El endpoint del webhook respondió {$response->status()}."); + } + } catch (\Throwable $e) { + $this->delivery->update([ + 'response_body' => Str::limit($e->getMessage(), 1000), + ]); + + throw $e; + } + } +} diff --git a/app/Listeners/DispatchTokenRevokedWebhooks.php b/app/Listeners/DispatchTokenRevokedWebhooks.php new file mode 100644 index 0000000..4d26280 --- /dev/null +++ b/app/Listeners/DispatchTokenRevokedWebhooks.php @@ -0,0 +1,37 @@ +token; + + $endpoints = WebhookEndpoint::where('client_id', $token->client_id) + ->where('active', true) + ->get() + ->filter(fn (WebhookEndpoint $endpoint) => $endpoint->subscribesTo('token.revoked')); + + foreach ($endpoints as $endpoint) { + $delivery = WebhookDelivery::create([ + 'webhook_endpoint_id' => $endpoint->id, + 'event' => 'token.revoked', + 'payload' => [ + 'token_id' => $token->id, + 'user_id' => $token->user_id, + 'client_id' => $token->client_id, + 'revoked_at' => now()->toIso8601String(), + ], + 'created_at' => now(), + ]); + + SendWebhookJob::dispatch($delivery); + } + } +} diff --git a/app/Listeners/DispatchUserDeactivatedWebhooks.php b/app/Listeners/DispatchUserDeactivatedWebhooks.php new file mode 100644 index 0000000..6e20c99 --- /dev/null +++ b/app/Listeners/DispatchUserDeactivatedWebhooks.php @@ -0,0 +1,49 @@ +user; + + // Solo le importa a las apps que todavía tienen un token vigente + // para este usuario — no tiene sentido avisarle a una app a la que + // el usuario nunca le dio acceso, o que ya perdió el suyo. + $clientIds = Token::where('user_id', $user->id) + ->where('revoked', false) + ->distinct() + ->pluck('client_id'); + + if ($clientIds->isEmpty()) { + return; + } + + $endpoints = WebhookEndpoint::whereIn('client_id', $clientIds) + ->where('active', true) + ->get() + ->filter(fn (WebhookEndpoint $endpoint) => $endpoint->subscribesTo('user.deactivated')); + + foreach ($endpoints as $endpoint) { + $delivery = WebhookDelivery::create([ + 'webhook_endpoint_id' => $endpoint->id, + 'event' => 'user.deactivated', + 'payload' => [ + 'user_id' => $user->id, + 'email' => $user->email, + 'deactivated_at' => now()->toIso8601String(), + ], + 'created_at' => now(), + ]); + + SendWebhookJob::dispatch($delivery); + } + } +} diff --git a/app/Models/AuditLog.php b/app/Models/AuditLog.php new file mode 100644 index 0000000..3030a10 --- /dev/null +++ b/app/Models/AuditLog.php @@ -0,0 +1,77 @@ + 'array', + ]; + + public function actor(): BelongsTo + { + return $this->belongsTo(User::class, 'actor_id'); + } + + /** + * Listado paginado y filtrable — compartido por Admin\AuditLogController + * (sesión) y Api\AuditLogController (token), igual que AnalyticsSummary. + */ + public static function paginatedFor(Request $request) + { + $perPage = min(max((int) $request->integer('per_page', 25), 5), 100); + + return self::query() + ->with('actor:id,name,email') + ->when($request->filled('action'), fn ($q) => $q->where('action', $request->string('action'))) + ->when($request->filled('subject_type'), fn ($q) => $q->where('subject_type', $request->string('subject_type'))) + ->latest('created_at') + ->paginate($perPage) + ->through(fn ($log) => [ + 'id' => $log->id, + 'actor_name' => $log->actor?->name, + 'actor_email' => $log->actor?->email, + 'action' => $log->action, + 'subject_type' => $log->subject_type, + 'subject_id' => $log->subject_id, + 'subject_label' => $log->subject_label, + 'metadata' => $log->metadata, + 'ip_address' => $log->ip_address, + 'created_at' => $log->created_at, + ]); + } + + /** + * Registra un evento de auditoría. $subjectId se castea a string a propósito: + * cubre tanto ids autoincrementales (User) como uuid (Client) sin necesitar + * una relación polimórfica real (que mezclaría tipos de clave entre modelos). + */ + public static function record( + Request $request, + string $action, + string $subjectType, + int|string $subjectId, + ?string $subjectLabel = null, + ?array $metadata = null, + ): void { + self::create([ + 'actor_id' => $request->user()?->id, + 'action' => $action, + 'subject_type' => $subjectType, + 'subject_id' => (string) $subjectId, + 'subject_label' => $subjectLabel, + 'metadata' => $metadata, + 'ip_address' => $request->ip(), + 'user_agent' => $request->userAgent(), + 'created_at' => now(), + ]); + } +} diff --git a/app/Models/LoginEvent.php b/app/Models/LoginEvent.php index 99319fa..fad9969 100644 --- a/app/Models/LoginEvent.php +++ b/app/Models/LoginEvent.php @@ -3,11 +3,12 @@ namespace App\Models; use Illuminate\Database\Eloquent\Attributes\Fillable; +use Illuminate\Database\Eloquent\Builder; use Illuminate\Database\Eloquent\Model; use Illuminate\Database\Eloquent\Relations\BelongsTo; use Laravel\Passport\Client; -#[Fillable(['user_id', 'client_id', 'type', 'ip_address', 'user_agent', 'created_at'])] +#[Fillable(['user_id', 'client_id', 'type', 'outcome', 'ip_address', 'user_agent', 'created_at'])] class LoginEvent extends Model { const UPDATED_AT = null; @@ -21,4 +22,9 @@ class LoginEvent extends Model { return $this->belongsTo(Client::class); } + + public function scopeSuccessful(Builder $query): Builder + { + return $query->where('outcome', 'success'); + } } diff --git a/app/Models/OAuthAuthorizationEvent.php b/app/Models/OAuthAuthorizationEvent.php new file mode 100644 index 0000000..12bdaaf --- /dev/null +++ b/app/Models/OAuthAuthorizationEvent.php @@ -0,0 +1,30 @@ + 'array', + ]; + + public function user(): BelongsTo + { + return $this->belongsTo(User::class); + } + + public function client(): BelongsTo + { + return $this->belongsTo(Client::class); + } +} diff --git a/app/Models/User.php b/app/Models/User.php index fac7787..49d5430 100644 --- a/app/Models/User.php +++ b/app/Models/User.php @@ -3,6 +3,8 @@ namespace App\Models; // use Illuminate\Contracts\Auth\MustVerifyEmail; +use App\Notifications\ResetPasswordNotification; +use App\Support\TwoFactorVerification; use Database\Factories\UserFactory; use Illuminate\Database\Eloquent\Attributes\Fillable; use Illuminate\Database\Eloquent\Attributes\Hidden; @@ -10,11 +12,13 @@ use Illuminate\Database\Eloquent\Factories\HasFactory; use Illuminate\Database\Eloquent\SoftDeletes; use Illuminate\Foundation\Auth\User as Authenticatable; use Illuminate\Notifications\Notifiable; +use Illuminate\Support\Facades\App; +use Illuminate\Support\Facades\Hash; use Laravel\Passport\HasApiTokens; use Spatie\Permission\Traits\HasRoles; #[Fillable(['name', 'email', 'password', 'is_active', 'approved_at'])] -#[Hidden(['password', 'remember_token'])] +#[Hidden(['password', 'remember_token', 'two_factor_secret', 'two_factor_recovery_codes'])] class User extends Authenticatable { /** @use HasFactory */ @@ -33,6 +37,9 @@ class User extends Authenticatable 'is_active' => 'boolean', 'deleted_at' => 'datetime', 'approved_at' => 'datetime', + 'two_factor_secret' => 'encrypted', + 'two_factor_recovery_codes' => 'encrypted:array', + 'two_factor_confirmed_at' => 'datetime', ]; } @@ -40,4 +47,41 @@ class User extends Authenticatable { return $this->approved_at === null; } + + public function hasTwoFactorEnabled(): bool + { + return $this->two_factor_confirmed_at !== null; + } + + /** + * Hook que reconoce Passport\Bridge\UserRepository para el Password Grant. + * Sin esto, POST /oauth/token con grant_type=password sólo chequeaba la + * contraseña — un bypass real de 2FA si el usuario lo tenía activo para + * el login de sesión. Con 2FA activo exige además un campo "otp" (código + * TOTP o de recuperación) en el mismo request. + */ + public function validateForPassportPasswordGrant(string $password): bool + { + if (! Hash::check($password, $this->password)) { + return false; + } + + if (! $this->hasTwoFactorEnabled()) { + return true; + } + + $otp = request()->input('otp'); + + return is_string($otp) && $otp !== '' && TwoFactorVerification::verify($this, $otp); + } + + /** + * Override del notification default de Laravel (en inglés, sin plantilla + * propia) — manda el email en el idioma de la sesión que originó el + * pedido, ver App\Notifications\ResetPasswordNotification. + */ + public function sendPasswordResetNotification($token): void + { + $this->notify(new ResetPasswordNotification($token, App::getLocale())); + } } diff --git a/app/Models/WebhookDelivery.php b/app/Models/WebhookDelivery.php new file mode 100644 index 0000000..af7173a --- /dev/null +++ b/app/Models/WebhookDelivery.php @@ -0,0 +1,47 @@ + 'array', + 'delivered_at' => 'datetime', + ]; + + public function endpoint(): BelongsTo + { + return $this->belongsTo(WebhookEndpoint::class, 'webhook_endpoint_id'); + } + + /** + * Historial paginado de intentos de entrega de un webhook — compartido + * por OAuth\WebhookController (sesión) y Api\WebhookController (token), + * mismo patrón que AuditLog::paginatedFor. + */ + public static function paginatedFor(WebhookEndpoint $endpoint, Request $request) + { + $perPage = min(max((int) $request->integer('per_page', 15), 5), 100); + + return self::where('webhook_endpoint_id', $endpoint->id) + ->latest('created_at') + ->paginate($perPage) + ->through(fn (self $delivery) => [ + 'id' => $delivery->id, + 'event' => $delivery->event, + 'response_status' => $delivery->response_status, + 'response_body' => $delivery->response_body, + 'attempts' => $delivery->attempts, + 'delivered_at' => $delivery->delivered_at, + 'created_at' => $delivery->created_at, + ]); + } +} diff --git a/app/Models/WebhookEndpoint.php b/app/Models/WebhookEndpoint.php new file mode 100644 index 0000000..61a084a --- /dev/null +++ b/app/Models/WebhookEndpoint.php @@ -0,0 +1,36 @@ + 'encrypted', + 'events' => 'array', + 'active' => 'boolean', + ]; + + public function client(): BelongsTo + { + return $this->belongsTo(Client::class); + } + + public function deliveries(): HasMany + { + return $this->hasMany(WebhookDelivery::class); + } + + public function subscribesTo(string $event): bool + { + return $this->active && in_array($event, $this->events ?? [], true); + } +} diff --git a/app/Notifications/ResetPasswordNotification.php b/app/Notifications/ResetPasswordNotification.php new file mode 100644 index 0000000..fb5c341 --- /dev/null +++ b/app/Notifications/ResetPasswordNotification.php @@ -0,0 +1,43 @@ +emailLocale); + + $url = url('/reset-password').'?'.http_build_query([ + 'token' => $this->token, + 'email' => $notifiable->getEmailForPasswordReset(), + ]); + + return (new MailMessage) + ->subject(__('messages.reset_password_subject')) + ->line(__('messages.reset_password_intro')) + ->action(__('messages.reset_password_action'), $url) + ->line(__('messages.reset_password_expire', ['count' => config('auth.passwords.users.expire')])) + ->line(__('messages.reset_password_no_action')); + } +} diff --git a/app/Providers/AppServiceProvider.php b/app/Providers/AppServiceProvider.php index 93655d9..777670e 100644 --- a/app/Providers/AppServiceProvider.php +++ b/app/Providers/AppServiceProvider.php @@ -2,10 +2,11 @@ namespace App\Providers; -use App\Listeners\RecordOAuthLoginEvent; -use Illuminate\Support\Facades\Event; +use Illuminate\Cache\RateLimiting\Limit; +use Illuminate\Http\Request; +use Illuminate\Support\Facades\RateLimiter; use Illuminate\Support\ServiceProvider; -use Laravel\Passport\Events\AccessTokenCreated; +use Laravel\Passport\Bridge\ClientRepository as PassportClientRepository; use Laravel\Passport\Passport; class AppServiceProvider extends ServiceProvider @@ -15,7 +16,9 @@ class AppServiceProvider extends ServiceProvider */ public function register(): void { - // + // Acepta también el client_secret anterior durante su periodo de + // gracia al rotar — ver App\Services\Passport\ClientRepository. + $this->app->bind(PassportClientRepository::class, \App\Services\Passport\ClientRepository::class); } /** @@ -45,6 +48,44 @@ class AppServiceProvider extends ServiceProvider // como JSON para que el JS los lea (ver resources/views/app.blade.php). Passport::authorizationView('app'); - Event::listen(AccessTokenCreated::class, RecordOAuthLoginEvent::class); + // Los listeners de app/Listeners se auto-descubren por su handle() + // tipado (Laravel 11+) — no hace falta Event::listen() acá. Registrarlo + // a mano ADEMÁS del auto-discovery duplica cada evento (se vio con + // event:list: cada listener aparecía dos veces), lo que duplicaba + // filas en login_events y disparaba cada webhook dos veces. + + $this->configureRateLimiting(); + } + + /** + * Límites para endpoints sensibles a fuerza bruta: login, registro y + * emisión de tokens OAuth. Password grant vive en el mismo endpoint que + * refresh/client_credentials, así que el límite de /oauth/token se aplica + * por (ip, client_id) — no penaliza a todos los clientes por igual si uno + * solo está siendo atacado. + */ + private function configureRateLimiting(): void + { + RateLimiter::for('login', function (Request $request) { + $key = strtolower((string) $request->input('email')).'|'.$request->ip(); + + return Limit::perMinute(5)->by($key); + }); + + RateLimiter::for('register', function (Request $request) { + return Limit::perMinute(5)->by($request->ip()); + }); + + RateLimiter::for('oauth-token', function (Request $request) { + $key = $request->ip().'|'.$request->input('client_id'); + + return Limit::perMinute(20)->by($key); + }); + + RateLimiter::for('password-reset', function (Request $request) { + $key = strtolower((string) $request->input('email')).'|'.$request->ip(); + + return Limit::perMinute(5)->by($key); + }); } } diff --git a/app/Rules/SafeWebhookUrl.php b/app/Rules/SafeWebhookUrl.php new file mode 100644 index 0000000..4688af2 --- /dev/null +++ b/app/Rules/SafeWebhookUrl.php @@ -0,0 +1,17 @@ +clients->findActive($clientIdentifier); + + if (! $record || ! $record->previous_secret || ! $record->previous_secret_expires_at) { + return false; + } + + if (Carbon::parse($record->previous_secret_expires_at)->isPast()) { + return false; + } + + return $this->hasher->check($clientSecret, $record->previous_secret); + } +} diff --git a/app/Support/AnalyticsSummary.php b/app/Support/AnalyticsSummary.php index 395ec72..31e7cb7 100644 --- a/app/Support/AnalyticsSummary.php +++ b/app/Support/AnalyticsSummary.php @@ -3,9 +3,11 @@ namespace App\Support; use App\Models\LoginEvent; +use App\Models\OAuthAuthorizationEvent; use App\Models\User; use Illuminate\Support\Carbon; use Illuminate\Support\Facades\DB; +use Laravel\Passport\Passport; use Laravel\Passport\Token; /** @@ -22,20 +24,122 @@ class AnalyticsSummary 'kpis' => [ 'total_users' => User::count(), 'active_sessions' => Token::query()->where('revoked', false)->where('expires_at', '>', now())->count(), - 'logins_today' => LoginEvent::whereDate('created_at', today())->count(), - 'logins_7d' => LoginEvent::where('created_at', '>=', now()->subDays(7))->count(), + 'logins_today' => LoginEvent::successful()->whereDate('created_at', today())->count(), + 'logins_7d' => LoginEvent::successful()->where('created_at', '>=', now()->subDays(7))->count(), + 'login_failures_7d' => LoginEvent::where('type', 'session')->where('outcome', 'failure')->where('created_at', '>=', now()->subDays(7))->count(), + 'login_failure_rate_7d' => self::loginFailureRate(now()->subDays(7)), ], 'logins_by_day' => self::loginsByDay($since, $days), 'logins_by_app' => self::loginsByApp($since), 'top_users' => self::topUsers($since), 'recent' => self::recent(), + 'oauth_funnel' => self::oauthFunnel($since), + 'oauth_funnel_by_client' => self::oauthFunnelByClient($since), + 'active_tokens_by_client' => self::activeTokensByClient(), + 'scope_usage' => self::scopeUsage($since), ]; } + private static function loginFailureRate(Carbon $since): float + { + $success = LoginEvent::where('type', 'session')->where('outcome', 'success')->where('created_at', '>=', $since)->count(); + $failure = LoginEvent::where('type', 'session')->where('outcome', 'failure')->where('created_at', '>=', $since)->count(); + $total = $success + $failure; + + return $total === 0 ? 0.0 : round(($failure / $total) * 100, 1); + } + + private static function oauthFunnel(Carbon $since): array + { + $counts = OAuthAuthorizationEvent::query() + ->where('created_at', '>=', $since) + ->selectRaw('outcome, count(*) as count') + ->groupBy('outcome') + ->pluck('count', 'outcome'); + + $attempted = (int) ($counts['attempted'] ?? 0); + $approved = (int) ($counts['approved'] ?? 0); + $denied = (int) ($counts['denied'] ?? 0); + + return [ + 'attempted' => $attempted, + 'approved' => $approved, + 'denied' => $denied, + 'approval_rate' => $attempted === 0 ? 0.0 : round(($approved / $attempted) * 100, 1), + ]; + } + + private static function oauthFunnelByClient(Carbon $since): array + { + return OAuthAuthorizationEvent::query() + ->join('oauth_clients', 'oauth_clients.id', '=', 'oauth_authorization_events.client_id') + ->where('oauth_authorization_events.created_at', '>=', $since) + ->groupBy('oauth_clients.id', 'oauth_clients.name') + ->orderByDesc('attempted') + ->limit(8) + ->get([ + 'oauth_clients.name as client_name', + DB::raw("sum(case when outcome = 'attempted' then 1 else 0 end) as attempted"), + DB::raw("sum(case when outcome = 'approved' then 1 else 0 end) as approved"), + DB::raw("sum(case when outcome = 'denied' then 1 else 0 end) as denied"), + ]) + ->map(fn ($row) => [ + 'client_name' => $row->client_name, + 'attempted' => (int) $row->attempted, + 'approved' => (int) $row->approved, + 'denied' => (int) $row->denied, + ]) + ->toArray(); + } + + private static function activeTokensByClient(): array + { + return Token::query() + ->join('oauth_clients', 'oauth_clients.id', '=', 'oauth_access_tokens.client_id') + ->where('oauth_access_tokens.revoked', false) + ->where('oauth_access_tokens.expires_at', '>', now()) + ->groupBy('oauth_clients.id', 'oauth_clients.name') + ->orderByDesc('count') + ->limit(8) + ->get(['oauth_clients.name as client_name', DB::raw('count(*) as count')]) + ->toArray(); + } + + private static function scopeUsage(Carbon $since): array + { + $descriptions = Passport::scopes()->keyBy('id'); + + $counts = []; + Token::query() + ->where('oauth_access_tokens.created_at', '>=', $since) + ->where('revoked', false) + ->pluck('scopes') + ->each(function ($raw) use (&$counts) { + $scopes = is_array($raw) ? $raw : (json_decode($raw ?? '[]', true) ?? []); + + foreach ($scopes as $scope) { + $counts[$scope] = ($counts[$scope] ?? 0) + 1; + } + }); + + arsort($counts); + + return collect($counts) + ->take(8) + ->map(fn ($count, $scope) => [ + 'scope' => $scope, + 'description' => $descriptions->get($scope)?->description ?? $scope, + 'count' => $count, + ]) + ->values() + ->toArray(); + } + private static function loginsByDay(Carbon $since, int $days): array { $rows = LoginEvent::query() ->selectRaw("date(created_at) as day, type, count(*) as count") + ->where('outcome', 'success') ->where('created_at', '>=', $since) ->groupBy('day', 'type') ->get() @@ -61,6 +165,7 @@ class AnalyticsSummary return LoginEvent::query() ->join('oauth_clients', 'oauth_clients.id', '=', 'login_events.client_id') ->where('login_events.type', 'oauth') + ->where('login_events.outcome', 'success') ->where('login_events.created_at', '>=', $since) ->groupBy('oauth_clients.id', 'oauth_clients.name') ->orderByDesc('count') @@ -73,6 +178,7 @@ class AnalyticsSummary { return LoginEvent::query() ->join('users', 'users.id', '=', 'login_events.user_id') + ->where('login_events.outcome', 'success') ->where('login_events.created_at', '>=', $since) ->groupBy('users.id', 'users.name', 'users.email') ->orderByDesc('count') @@ -84,6 +190,7 @@ class AnalyticsSummary private static function recent(int $limit = 15): array { return LoginEvent::with(['user:id,name,email', 'client:id,name']) + ->where('outcome', 'success') ->latest('created_at') ->limit($limit) ->get() diff --git a/app/Support/ClientSecretRotation.php b/app/Support/ClientSecretRotation.php new file mode 100644 index 0000000..4f4e419 --- /dev/null +++ b/app/Support/ClientSecretRotation.php @@ -0,0 +1,37 @@ +forceFill([ + 'previous_secret' => $client->getAttributes()['secret'] ?? null, + 'previous_secret_expires_at' => now()->addHours(self::GRACE_PERIOD_HOURS), + ]); + + $client->secret = Str::random(40); + $client->save(); + + return $client->plainSecret; + } +} diff --git a/app/Support/TokenRevocation.php b/app/Support/TokenRevocation.php new file mode 100644 index 0000000..57f983e --- /dev/null +++ b/app/Support/TokenRevocation.php @@ -0,0 +1,28 @@ +revoked) { + return; + } + + $token->revoke(); + $token->refreshToken?->revoke(); + + TokenRevoked::dispatch($token); + } +} diff --git a/app/Support/TwoFactorVerification.php b/app/Support/TwoFactorVerification.php new file mode 100644 index 0000000..285f1cc --- /dev/null +++ b/app/Support/TwoFactorVerification.php @@ -0,0 +1,33 @@ +two_factor_secret && (new Google2FA())->verifyKey($user->two_factor_secret, $code)) { + return true; + } + + $recoveryCodes = $user->two_factor_recovery_codes ?? []; + $normalized = strtoupper(trim($code)); + + if (in_array($normalized, $recoveryCodes, true)) { + $user->forceFill([ + 'two_factor_recovery_codes' => array_values(array_diff($recoveryCodes, [$normalized])), + ])->save(); + + return true; + } + + return false; + } +} diff --git a/app/Support/UserSessions.php b/app/Support/UserSessions.php new file mode 100644 index 0000000..b7b4433 --- /dev/null +++ b/app/Support/UserSessions.php @@ -0,0 +1,58 @@ +tokens() + ->where('revoked', false) + ->where(function ($q) { + $q->whereNull('expires_at')->orWhere('expires_at', '>', now()); + }) + ->with('client:id,name,revoked') + ->latest('created_at') + ->get() + ->map(fn ($token) => [ + 'id' => $token->id, + 'client_name' => $token->client?->name, + 'client_revoked' => (bool) $token->client?->revoked, + 'name' => $token->name, + 'scopes' => $token->scopes, + 'created_at' => $token->created_at, + 'expires_at' => $token->expires_at, + ]); + } + + public static function revoke(User $user, string $tokenId): bool + { + $token = $user->tokens()->where('id', $tokenId)->first(); + + if (! $token) { + return false; + } + + TokenRevocation::revoke($token); + + return true; + } + + public static function revokeAll(User $user): int + { + $tokens = $user->tokens()->where('revoked', false)->get(); + + foreach ($tokens as $token) { + TokenRevocation::revoke($token); + } + + return $tokens->count(); + } +} diff --git a/app/Support/WebhookEndpoints.php b/app/Support/WebhookEndpoints.php new file mode 100644 index 0000000..3835332 --- /dev/null +++ b/app/Support/WebhookEndpoints.php @@ -0,0 +1,81 @@ +deliveries()->latest('created_at')->first(); + + return [ + 'id' => $endpoint->id, + 'client_id' => $endpoint->client_id, + 'url' => $endpoint->url, + 'events' => $endpoint->events, + 'active' => $endpoint->active, + 'created_at' => $endpoint->created_at, + 'last_delivery' => $last ? [ + 'event' => $last->event, + 'response_status' => $last->response_status, + 'delivered_at' => $last->delivered_at, + 'created_at' => $last->created_at, + ] : null, + ]; + } +} diff --git a/composer.json b/composer.json index 9159e33..9459896 100644 --- a/composer.json +++ b/composer.json @@ -11,6 +11,7 @@ "laravel/framework": "^13.8", "laravel/passport": "^13.0", "laravel/tinker": "^3.0", + "pragmarx/google2fa": "^9.0", "spatie/laravel-permission": "^8.3" }, "require-dev": { diff --git a/composer.lock b/composer.lock index cc9089f..f09cba6 100644 --- a/composer.lock +++ b/composer.lock @@ -4,7 +4,7 @@ "Read more about it at https://getcomposer.org/doc/01-basic-usage.md#installing-dependencies", "This file is @generated automatically" ], - "content-hash": "020ec5a0def24e12e3226eb848009f38", + "content-hash": "f0dc0266f5d459fae88ba4daaa34009e", "packages": [ { "name": "brick/math", @@ -3489,6 +3489,58 @@ }, "time": "2026-07-08T07:01:06+00:00" }, + { + "name": "pragmarx/google2fa", + "version": "v9.0.0", + "source": { + "type": "git", + "url": "https://github.com/antonioribeiro/google2fa.git", + "reference": "e6bc62dd6ae83acc475f57912e27466019a1f2cf" + }, + "dist": { + "type": "zip", + "url": "https://api.github.com/repos/antonioribeiro/google2fa/zipball/e6bc62dd6ae83acc475f57912e27466019a1f2cf", + "reference": "e6bc62dd6ae83acc475f57912e27466019a1f2cf", + "shasum": "" + }, + "require": { + "paragonie/constant_time_encoding": "^1.0|^2.0|^3.0", + "php": "^7.1|^8.0" + }, + "require-dev": { + "phpstan/phpstan": "^1.9", + "phpunit/phpunit": "^7.5.15|^8.5|^9.0" + }, + "type": "library", + "autoload": { + "psr-4": { + "PragmaRX\\Google2FA\\": "src/" + } + }, + "notification-url": "https://packagist.org/downloads/", + "license": [ + "MIT" + ], + "authors": [ + { + "name": "Antonio Carlos Ribeiro", + "email": "acr@antoniocarlosribeiro.com", + "role": "Creator & Designer" + } + ], + "description": "A One Time Password Authentication package, compatible with Google Authenticator.", + "keywords": [ + "2fa", + "Authentication", + "Two Factor Authentication", + "google2fa" + ], + "support": { + "issues": "https://github.com/antonioribeiro/google2fa/issues", + "source": "https://github.com/antonioribeiro/google2fa/tree/v9.0.0" + }, + "time": "2025-09-19T22:51:08+00:00" + }, { "name": "psr/clock", "version": "1.0.0", diff --git a/config/passport.php b/config/passport.php index aed4358..8f305f6 100644 --- a/config/passport.php +++ b/config/passport.php @@ -15,7 +15,11 @@ return [ 'guard' => 'web', - 'middleware' => [], + // Limitador propio ADEMÁS del "throttle" (60/min por IP) que Passport ya + // trae hardcodeado en /oauth/token — este es más estricto y va por + // (ip, client_id), así que un ataque de fuerza bruta contra un client no + // le come el cupo a los demás. Ver AppServiceProvider::configureRateLimiting(). + 'middleware' => ['throttle:oauth-token'], /* |-------------------------------------------------------------------------- diff --git a/database/factories/UserFactory.php b/database/factories/UserFactory.php index c4ceb07..b59fba8 100644 --- a/database/factories/UserFactory.php +++ b/database/factories/UserFactory.php @@ -42,4 +42,16 @@ class UserFactory extends Factory 'email_verified_at' => null, ]); } + + /** + * approved_at es nullable sin default (ver migración add_approved_at): + * un usuario recién creado por el factory queda "pendiente" (isPending() + * === true) salvo que se pida explícitamente este estado. + */ + public function approved(): static + { + return $this->state(fn (array $attributes) => [ + 'approved_at' => now(), + ]); + } } diff --git a/database/migrations/2026_07_26_130000_add_outcome_to_login_events_table.php b/database/migrations/2026_07_26_130000_add_outcome_to_login_events_table.php new file mode 100644 index 0000000..99c12d1 --- /dev/null +++ b/database/migrations/2026_07_26_130000_add_outcome_to_login_events_table.php @@ -0,0 +1,32 @@ +string('outcome')->default('success')->after('type'); + $table->index(['type', 'outcome', 'created_at']); + }); + } + + /** + * Reverse the migrations. + */ + public function down(): void + { + Schema::table('login_events', function (Blueprint $table) { + $table->dropIndex(['type', 'outcome', 'created_at']); + $table->dropColumn('outcome'); + }); + } +}; diff --git a/database/migrations/2026_07_26_130001_create_oauth_authorization_events_table.php b/database/migrations/2026_07_26_130001_create_oauth_authorization_events_table.php new file mode 100644 index 0000000..fe86bb8 --- /dev/null +++ b/database/migrations/2026_07_26_130001_create_oauth_authorization_events_table.php @@ -0,0 +1,37 @@ +id(); + $table->foreignId('user_id')->nullable()->constrained()->nullOnDelete(); + $table->foreignUuid('client_id')->nullable()->constrained('oauth_clients')->nullOnDelete(); + $table->string('outcome'); // 'attempted' | 'approved' | 'denied' + $table->json('scopes')->nullable(); + $table->string('ip_address', 45)->nullable(); + $table->string('user_agent')->nullable(); + $table->timestamp('created_at')->nullable(); + + $table->index(['created_at']); + $table->index(['client_id', 'created_at']); + $table->index(['outcome']); + }); + } + + /** + * Reverse the migrations. + */ + public function down(): void + { + Schema::dropIfExists('oauth_authorization_events'); + } +}; diff --git a/database/migrations/2026_07_26_140000_create_audit_logs_table.php b/database/migrations/2026_07_26_140000_create_audit_logs_table.php new file mode 100644 index 0000000..a77ceda --- /dev/null +++ b/database/migrations/2026_07_26_140000_create_audit_logs_table.php @@ -0,0 +1,47 @@ +id(); + $table->foreignId('actor_id')->nullable()->constrained('users')->nullOnDelete(); + $table->string('action'); // 'user.created', 'client.revoked', etc. + // subject_id es string (no FK/morphs): cubre tanto ids autoincrementales + // (User) como uuid (Client) sin mezclar tipos en una sola columna. + $table->string('subject_type'); // 'user' | 'client' + $table->string('subject_id'); + // Snapshot de texto (email del usuario, nombre del client) al momento + // del evento — sigue siendo legible aunque el sujeto se borre después. + $table->string('subject_label')->nullable(); + // Se llama "metadata" y no "changes": ese nombre colisiona con la + // propiedad protegida $changes que Eloquent usa internamente para + // dirty-tracking (HasAttributes), y el choque solo se manifiesta + // cuando se accede al atributo desde dentro de esta misma clase. + $table->json('metadata')->nullable(); + $table->string('ip_address', 45)->nullable(); + $table->string('user_agent')->nullable(); + $table->timestamp('created_at')->nullable(); + + $table->index(['created_at']); + $table->index(['action', 'created_at']); + $table->index(['subject_type', 'subject_id']); + }); + } + + /** + * Reverse the migrations. + */ + public function down(): void + { + Schema::dropIfExists('audit_logs'); + } +}; diff --git a/database/migrations/2026_07_26_140001_add_audit_view_permission.php b/database/migrations/2026_07_26_140001_add_audit_view_permission.php new file mode 100644 index 0000000..6a1378a --- /dev/null +++ b/database/migrations/2026_07_26_140001_add_audit_view_permission.php @@ -0,0 +1,34 @@ +first(); + + if ($admin && ! $admin->hasPermissionTo($permission)) { + $admin->givePermissionTo($permission); + } + } + + /** + * Reverse the migrations. + */ + public function down(): void + { + Permission::where('name', 'audit.view')->delete(); + } +}; diff --git a/database/migrations/2026_07_26_150000_add_two_factor_columns_to_users_table.php b/database/migrations/2026_07_26_150000_add_two_factor_columns_to_users_table.php new file mode 100644 index 0000000..ae623b3 --- /dev/null +++ b/database/migrations/2026_07_26_150000_add_two_factor_columns_to_users_table.php @@ -0,0 +1,35 @@ +text('two_factor_secret')->nullable()->after('password'); + $table->text('two_factor_recovery_codes')->nullable()->after('two_factor_secret'); + $table->timestamp('two_factor_confirmed_at')->nullable()->after('two_factor_recovery_codes'); + }); + } + + /** + * Reverse the migrations. + */ + public function down(): void + { + Schema::table('users', function (Blueprint $table) { + $table->dropColumn(['two_factor_secret', 'two_factor_recovery_codes', 'two_factor_confirmed_at']); + }); + } +}; diff --git a/database/migrations/2026_07_27_100000_create_webhook_endpoints_table.php b/database/migrations/2026_07_27_100000_create_webhook_endpoints_table.php new file mode 100644 index 0000000..25a89a9 --- /dev/null +++ b/database/migrations/2026_07_27_100000_create_webhook_endpoints_table.php @@ -0,0 +1,38 @@ +id(); + $table->foreignUuid('client_id')->constrained('oauth_clients')->cascadeOnDelete(); + $table->string('url'); + // Encriptado (cast 'encrypted' en el modelo) — a diferencia del + // secret de un client OAuth, este SÍ hay que poder recuperarlo en + // texto plano después para firmar cada entrega (HMAC), no solo + // verificarlo una vez. + $table->text('secret'); + $table->json('events'); // ej. ['token.revoked', 'user.deactivated'] + $table->boolean('active')->default(true); + $table->timestamps(); + + $table->index(['client_id', 'active']); + }); + } + + /** + * Reverse the migrations. + */ + public function down(): void + { + Schema::dropIfExists('webhook_endpoints'); + } +}; diff --git a/database/migrations/2026_07_27_100001_create_webhook_deliveries_table.php b/database/migrations/2026_07_27_100001_create_webhook_deliveries_table.php new file mode 100644 index 0000000..c97f45a --- /dev/null +++ b/database/migrations/2026_07_27_100001_create_webhook_deliveries_table.php @@ -0,0 +1,36 @@ +id(); + $table->foreignId('webhook_endpoint_id')->constrained()->cascadeOnDelete(); + $table->string('event'); + $table->json('payload'); + $table->unsignedSmallInteger('response_status')->nullable(); + $table->text('response_body')->nullable(); + $table->unsignedTinyInteger('attempts')->default(0); + $table->timestamp('delivered_at')->nullable(); + $table->timestamp('created_at')->nullable(); + + $table->index(['webhook_endpoint_id', 'created_at']); + }); + } + + /** + * Reverse the migrations. + */ + public function down(): void + { + Schema::dropIfExists('webhook_deliveries'); + } +}; diff --git a/database/migrations/2026_07_27_120000_add_secret_rotation_to_oauth_clients_table.php b/database/migrations/2026_07_27_120000_add_secret_rotation_to_oauth_clients_table.php new file mode 100644 index 0000000..bc28140 --- /dev/null +++ b/database/migrations/2026_07_27_120000_add_secret_rotation_to_oauth_clients_table.php @@ -0,0 +1,33 @@ +text('previous_secret')->nullable()->after('secret'); + $table->timestamp('previous_secret_expires_at')->nullable()->after('previous_secret'); + }); + } + + /** + * Reverse the migrations. + */ + public function down(): void + { + Schema::table('oauth_clients', function (Blueprint $table) { + $table->dropColumn(['previous_secret', 'previous_secret_expires_at']); + }); + } +}; diff --git a/database/seeders/RolesAndPermissionsSeeder.php b/database/seeders/RolesAndPermissionsSeeder.php index 3b66af0..f8d1f92 100644 --- a/database/seeders/RolesAndPermissionsSeeder.php +++ b/database/seeders/RolesAndPermissionsSeeder.php @@ -16,7 +16,7 @@ class RolesAndPermissionsSeeder extends Seeder { public function run(): void { - foreach (['users.view', 'users.create', 'users.update', 'users.delete'] as $permission) { + foreach (['users.view', 'users.create', 'users.update', 'users.delete', 'audit.view'] as $permission) { Permission::findOrCreate($permission); } diff --git a/docs/manual-usuario.html b/docs/manual-usuario.html index da437ff..64fa954 100644 --- a/docs/manual-usuario.html +++ b/docs/manual-usuario.html @@ -178,7 +178,7 @@

Manual de uso: puesta en marcha, panel de administración, flujos OAuth2 y API REST completa para construir cualquier cliente propio (Angular, Flutter, NestJS, etc.).

Laravel 12 · Passport 13 · Vue 3 + TypeScript · SCSS/BEM · spatie/laravel-permission · L5-Swagger
- Generado el 25 de julio de 2026 + Generado el 27 de julio de 2026 (actualizado: webhooks salientes + protección anti-SSRF)
@@ -189,13 +189,16 @@
  • 2.Puesta en marcha
  • 3.Usuarios por defecto (seed)
  • 4.Uso de la interfaz web (panel de administración)
    • -
  • 5.Analíticas: sesiones, logins y actividad
    • -
  • 6.Roles, permisos y roles por app
    • -
  • 7.Idioma (español / inglés / catalán)
    • -
  • 8.Cómo conectar tu app (Angular, NestJS, Flutter, etc.)
    • -
  • 9.API REST completa: construí tu propio panel admin
    • -
  • 10.Documentación interactiva (Swagger)
    • -
  • 11.Referencia rápida de rutas
    • +
  • 5.Verificación en dos pasos (2FA)
    • +
  • 6.Analíticas: sesiones, logins y actividad
    • +
  • 7.Audit log: quién cambió qué
    • +
  • 8.Roles, permisos y roles por app
    • +
  • 9.Idioma (español / inglés / catalán)
    • +
  • 10.Cómo conectar tu app (Angular, NestJS, Flutter, etc.)
    • +
  • 11.API REST completa: construí tu propio panel admin
    • +
  • 12.Webhooks: enterate sin hacer polling
    • +
  • 13.Documentación interactiva (Swagger)
    • +
  • 14.Referencia rápida de rutas
    • @@ -259,6 +262,14 @@ cola de trabajos y los logs. La app queda disponible en http://localhost:8 vuelve a crear los usuarios/clientes de ejemplo descriptos en la sección 3. Los client_secret de los clientes OAuth de ejemplo se imprimen en la consola en ese momento — solo se muestran una vez. +
    + Email: por defecto MAIL_MAILER=log — los emails (hoy, solo el de + recuperación de contraseña, ver sección 4) se escriben en storage/logs/laravel.log en vez de + enviarse de verdad, para no necesitar SMTP en desarrollo. Para producción, configurá un mailer real en + .env (MAIL_MAILER, MAIL_HOST, etc. — cualquiera soportado por + Laravel). El envío va encolado (ShouldQueue), así que también necesitás un worker corriendo + (php artisan queue:work, o composer run dev en desarrollo). +
    @@ -325,6 +336,33 @@ automáticamente, pero no loguea al usuario: queda pendiente de un mensaje de "Cuenta creada" y el login devuelve error hasta que un admin la aprueba desde el panel de usuarios (sección 4). Excepción: si la base de usuarios está vacía, esa primera cuenta se crea como admin y queda logueada de una (ver sección 3).

    +
    + Rate limiting: POST /web-api/login admite 5 intentos por minuto por + combinación de email + IP (frena fuerza bruta de contraseña sin afectar a otros usuarios que compartan + IP), y POST /web-api/register 5 por minuto por IP. Al superar el límite, la respuesta es + 429 Too Many Requests con un header Retry-After. +
    + +

    Recuperación de contraseña

    +

    +Desde /login → "¿Olvidaste tu contraseña?" (/forgot-password), cualquiera puede pedir +un enlace de restablecimiento con solo su email. La respuesta es siempre la misma, exista o +no una cuenta con ese email — lo contrario permitiría enumerar qué emails están registrados probando uno por +uno. Si la cuenta existe, se manda un email (ver la nota sobre MAIL_MAILER en la sección 2) con +un enlace a /reset-password?token=...&email=..., válido durante 60 minutos y +de un solo uso. +

    +
    + Al restablecer la contraseña se cierran todas las sesiones activas (los tokens OAuth + vigentes de esa cuenta, igual que "Cerrar todas" en Sesiones activas — sección 4) y queda un + user.password_reset en el audit log (sección 7). El motivo más común para resetear una + contraseña es sospechar que se filtró, así que no tiene sentido dejar vigente lo que se emitió con la + vieja. +
    +
    + Rate limiting: tanto pedir el enlace como confirmar el restablecimiento admiten 5 + intentos por minuto por combinación de email + IP. +

    Dashboard

    / — accesos rápidos a Clientes OAuth, Personal Access Tokens, Apps autorizadas y (si sos admin) @@ -341,6 +379,17 @@ crear uno se elige:

    El client_secret se muestra una sola vez, justo después de crear el cliente. Copiarlo en ese momento.
    +

    Cada cliente tiene, además, un botón "Webhooks" para registrar endpoints que reciben avisos +cuando pasa algo relevante para esa app (ver sección 12) — sin tener que hacer polling.

    +
    + Rotar secret. Los clientes confidenciales (con client_secret) tienen un botón + "Rotar secret". Genera un secret nuevo y lo muestra una sola vez, igual que al crear el + cliente — pero el secret anterior sigue siendo válido durante 48 horas (grace period), así + que podés actualizar la config de tu app sin downtime: mientras dure el grace period, ambos secrets + (viejo y nuevo) funcionan contra POST /oauth/token. Pasadas las 48 horas, o si rotás de + nuevo antes, el secret anterior deja de servir. No aplica a clientes públicos (Authorization Code + PKCE sin + secret) — no hay nada que rotar. +

    Personal Access Tokens

    /tokens — tokens tipo "API key" para el propio usuario, sin pasar por el flujo de consentimiento. @@ -370,41 +419,167 @@ sesión.

    igual que un borrado normal — se puede restaurar). Un usuario dado de alta directamente por un admin (el formulario "Nuevo usuario" de esta misma pantalla) queda aprobado automáticamente. +
    + Sesiones activas. Dentro de "Editar" (junto a "Roles por app") hay una sección "Sesiones + activas" con los tokens OAuth vigentes de ese usuario — qué apps tienen acceso a su cuenta ahora mismo, con + scope y fecha de emisión. Cada sesión se puede revocar individualmente, o todas de una con "Cerrar todas". + Pensado para incident response: si un usuario reporta una cuenta comprometida (o algo raro aparece en + Analíticas/Audit log), un admin puede cortarle el acceso a todo sin esperar a que expire solo. +
    + +

    Seguridad: verificación en dos pasos

    +

    /security — cualquier usuario (no solo admins) puede activar 2FA acá. Ver sección 5.

    Analíticas (solo admins)

    -

    /admin/analytics — ver sección 5.

    +

    /admin/analytics — ver sección 6.

    + +

    Audit log (solo admins)

    +

    /admin/audit-log — ver sección 7.

    -

    5. Analíticas: sesiones, logins y actividad

    +

    5. Verificación en dos pasos (2FA)

    +

    +Cualquier usuario (no hace falta ser admin) puede activar 2FA con TOTP desde /security — +compatible con Google Authenticator, Authy, 1Password, o cualquier app que hable el estándar TOTP +(RFC 6238). Es una capa extra sobre la contraseña: una vez activo, el login pide además un código de 6 +dígitos. +

    +

    Activación

    +
      +
    1. El servidor genera un secreto (todavía no activo) y un código QR para escanear.
      2. +
    2. El usuario escanea el QR con su app autenticadora (o copia el secreto a mano si no puede escanear).
      3. +
    3. Confirma con un código real generado por la app — recién en ese momento queda activo de verdad. Un + secreto generado pero nunca confirmado no habilita nada.
      4. +
    4. El servidor muestra 8 códigos de recuperación, una sola vez. Cada uno sirve para un + único login — son la salida de emergencia si se pierde el teléfono con la app autenticadora.
      5. +
    +

    Login con 2FA activo

    +

    +El login pasa a ser de dos pasos: primero email + contraseña (esto no crea sesión todavía); +si el usuario tiene 2FA activo, el servidor responde pidiendo el código en vez de loguear directo. Recién con +un código válido (TOTP o de recuperación) se crea la sesión. Un código de recuperación usado se invalida al +instante — no sirve una segunda vez. +

    +
    + Rate limiting: el segundo paso del login (/web-api/login/2fa), confirmar la + activación (/2fa/confirm), desactivar (/2fa/disable) y regenerar códigos de + recuperación (/2fa/recovery-codes) admiten 6 intentos por minuto — el espacio de un código + TOTP de 6 dígitos es chico como para no limitarlo. +
    +
    + Desactivar 2FA o regenerar códigos de recuperación: ambas acciones, desde + /security, piden confirmar la contraseña actual. Desactivar borra el secreto y los códigos de + recuperación por completo; para volver a activarlo hay que escanear un QR nuevo (no se reutiliza el + secreto anterior). Regenerar invalida los 8 códigos viejos y muestra 8 nuevos. +
    +
    + Password Grant y 2FA: si el usuario tiene 2FA activo, POST /oauth/token con + grant_type=password exige además un campo otp con un código TOTP o de + recuperación válido, en el mismo request — sin él, o con uno inválido, el servidor responde + 400 invalid_grant igual que con una contraseña incorrecta (no delata si el problema fue la + contraseña o el 2FA). Los usuarios sin 2FA no notan ningún cambio. + 
    curl -X POST /oauth/token -d grant_type=password \
+  -d client_id=... -d client_secret=... \
+  -d username=ana@example.com -d password=... \
+  -d otp=123456 -d scope="users:read"
    +
    +

    Cada activación, desactivación y regeneración de códigos queda registrada en el audit log (sección 7).

    +
    + +
    +

    6. Analíticas: sesiones, logins y actividad

    Pantalla de monitoreo para el admin: cada vez que Passport emite un access token (cualquier grant type) o alguien inicia sesión en el panel, queda un registro en login_events. Con eso se arman:

    • KPIs: usuarios totales, sesiones activas (tokens OAuth vigentes, no revocados ni - expirados), logins de hoy y de los últimos 7 días.
      • + expirados), logins de hoy, logins de los últimos 7 días, tasa de fallos de login y tasa de aprobación + OAuth (últimos 7 días).
    • Logins por día (últimos 7/30/90 días, elegible arriba a la derecha): barras apiladas — logins de apps (OAuth) vs. logins al panel admin (sesión) — con tooltip al pasar el mouse sobre cada día.
    • Logins por app: qué apps se usan más.
    • Usuarios más activos: ranking por cantidad de logins en el período.
      • +
    • Funnel de autorización OAuth: por cada cliente, cuántas veces se mostró la pantalla de + consentimiento (/oauth/authorize), cuántas se aprobaron y cuántas se denegaron, con la tasa de + aprobación resultante.
      • +
    • Tokens activos por cliente: snapshot en vivo de tokens OAuth vigentes (no revocados, + no expirados), agrupados por app.
      • +
    • Uso de scopes: qué scopes (users:read, account:write, etc.) + aparecen más entre los tokens emitidos en el período.
    • Actividad reciente: tabla con los últimos eventos (usuario, app, tipo, IP, cuándo).
    +
    + Exportar PDF: el botón "Exportar PDF" arriba a la derecha abre el diálogo de impresión del + navegador con una hoja de estilos dedicada — oculta la barra de navegación y los controles, fuerza tema + claro y expande la tabla de actividad reciente completa. No genera el PDF en el servidor: es el navegador + el que lo arma ("Guardar como PDF" en el diálogo de impresión), así que no depende de ninguna librería ni + servicio adicional. +
    +
    + Tasa de fallos de login solo cuenta credenciales inválidas en el login de sesión (panel + admin) — no cuenta intentos contra una cuenta desactivada o pendiente de aprobación, porque eso es un + estado de cuenta, no una señal de ataque de fuerza bruta. +
    El seeder de demo genera 30 días de actividad sintética para que estos gráficos no arranquen vacíos. En un - despliegue real, los datos son 100% eventos reales — no hay nada que "activar". + despliegue real, los datos son 100% eventos reales — no hay nada que "activar". El funnel de autorización y + la tasa de fallos de login sí arrancan vacíos incluso con el seed (son eventos nuevos, no incluidos en la + actividad sintética) hasta que ocurran de verdad.

    Misma info disponible por API: GET /api/analytics/summary?days=30 (scope users:read, requiere el permiso users.view — igual que el resto del panel admin).

    -

    6. Roles, permisos y roles por app

    +

    7. Audit log: quién cambió qué

    +

    +Pantalla de auditoría para el admin (/admin/audit-log): registra automáticamente los cambios que +importan desde el punto de vista de seguridad/gobernanza — no hace falta activar nada, queda un renglón cada vez +que ocurre alguno de estos eventos: +

    + + + + + + + + + + + + + + + + + + + + + +
    AcciónCuándo se registraQué guarda en "Detalles"
    user.createdUn admin da de alta un usuario desde el panel.Nombre, email y rol asignado.
    user.updatedUn admin edita nombre, email, rol, estado activo/inactivo o contraseña de un usuario.Solo los campos que efectivamente cambiaron (antes → después). La contraseña nunca se guarda en texto plano, solo si cambió o no.
    user.deletedUn admin borra (soft delete) un usuario.—
    user.restoredUn admin restaura un usuario desde la papelera.—
    user.force_deletedUn admin borra definitivamente un usuario de la papelera.—
    user.approvedUn admin aprueba un registro pendiente.—
    user.app_role_assignedUn admin asigna un rol por-app a un usuario.Client y rol asignado.
    user.app_role_revokedUn admin quita un rol por-app a un usuario.Client y rol quitado.
    client.createdSe registra un cliente OAuth nuevo (panel o API).Grant type y si es confidencial.
    client.revokedSe revoca un cliente OAuth (panel o API) — cascada a sus tokens.Cuántos tokens quedaron revocados.
    user.2fa_enabledUn usuario activa 2FA.—
    user.2fa_disabledUn usuario desactiva 2FA.—
    user.2fa_recovery_regeneratedUn usuario regenera sus códigos de recuperación.—
    user.session_revokedUn admin revoca un token OAuth ("sesión") de un usuario.—
    user.sessions_revoked_allUn admin cierra todas las sesiones activas de un usuario de una vez.Cuántos tokens quedaron revocados.
    client.webhook_createdSe registra un webhook nuevo en un cliente OAuth.URL y eventos suscritos.
    client.webhook_deletedSe borra un webhook.URL.
    client.secret_rotatedEl dueño de un cliente confidencial rota su client_secret.Hasta cuándo sigue valiendo el secret anterior.
    user.password_resetUn usuario restablece su contraseña vía "¿Olvidaste tu contraseña?".Cuántas sesiones quedaron revocadas.
    +

    Cada evento guarda además quién lo hizo (o "(sistema)" si no hay actor), IP, y cuándo. Es filtrable por +sujeto (Usuarios / Clientes OAuth) y por acción, y está paginado.

    +
    + Qué NO cubre todavía: cambios de name/redirect_uris en un cliente + OAuth existente (solo se audita creación y revocación), y acciones de auto-servicio de un usuario sobre sus + propios clientes/tokens/apps autorizadas (ese flujo no pasa por rutas de admin). +
    +

    Requiere el permiso audit.view (nuevo — separado de users.* porque también cubre +clientes OAuth, no solo usuarios). Se lo asigna automáticamente al rol admin. Misma info por API: +GET /api/audit-log (scope users:read).

    +
    + +
    +

    8. Roles, permisos y roles por app

    Roles globales

    Gobiernan el panel de administración de esta app (spatie/laravel-permission):

    - +
    RolPermisos
    adminusers.view, users.create, users.update, users.delete
    adminusers.view, users.create, users.update, users.delete, audit.view
    userNinguno extra — gestiona su propio perfil, sus clientes OAuth y sus tokens.
    @@ -413,13 +588,13 @@ inicia sesión en el panel, queda un registro en login_events. Con user) específico de una app registrada, desde el panel de edición de usuario ("Roles por app"). Sirve para que, por ejemplo, un usuario sea admin dentro de la app Angular pero solo user dentro de la app NestJS — sin tocar su rol global.

    -

    Esa información viaja en la respuesta de la API (app_roles, ver sección 8): cada app ve +

    Esa información viaja en la respuesta de la API (app_roles, ver sección 11): cada app ve únicamente el rol que ese usuario tiene en ella, resuelto automáticamente según el client_id del token usado en la request.

    -

    7. Idioma (español / inglés / catalán)

    +

    9. Idioma (español / inglés / catalán)

    El selector está arriba a la derecha en la barra de navegación (ES / EN / CA). Cambiarlo hace un POST a /web-api/locale, guarda el idioma en la sesión y recarga la página — el servidor decide el idioma con el que renderiza esa carga (mensajes de validación/autenticación vía @@ -437,7 +612,7 @@ sin parpadeo.

    -

    8. Cómo conectar tu app (Angular, NestJS, Flutter, etc.)

    +

    10. Cómo conectar tu app (Angular, NestJS, Flutter, etc.)

    Paso 1 — Registrar la app

    Desde /clients, crear un cliente OAuth eligiendo el grant type según el tipo de app:

    @@ -479,7 +654,7 @@ con ?code=...&state=....

    -

    9. API REST completa: construí tu propio panel admin

    +

    11. API REST completa: construí tu propio panel admin

    Todo lo que hace la SPA Vue por sesión también está disponible por token OAuth2. Esto significa que un cliente Angular, Flutter, o lo que sea, puede ser un admin completo — no solo consultar usuarios — @@ -503,8 +678,12 @@ sin depender de la sesión de Laravel. Todos los endpoints requieren Autho

    + + + - + +
    GET/api/users/{id}/app-rolesRoles del usuario por app (propio siempre permitido; otros requieren users.view).
    POST/api/users/{id}/app-rolesAsignar un rol en una app (requiere users.update, sin excepción para uno mismo).
    DELETE/api/users/{id}/app-roles/{clientId}/{role}Quitar un rol en una app (requiere users.update).
    GET/api/users/{id}/sessionsTokens OAuth activos de ese usuario ("sesiones") (requiere users.view).
    DELETE/api/users/{id}/sessions/{tokenId}Revocar una sesión puntual (requiere users.update).
    DELETE/api/users/{id}/sessionsRevocar todas las sesiones activas de ese usuario (requiere users.update).
    GET/api/appsListar todas las apps registradas (requiere users.view) — para armar el selector de roles-por-app.
    GET/api/analytics/summary?days=30KPIs, logins por día/app, usuarios más activos y actividad reciente (requiere users.view).
    GET/api/analytics/summary?days=30KPIs, logins por día/app, usuarios más activos, funnel de autorización OAuth, tokens activos por cliente, uso de scopes y actividad reciente (requiere users.view).
    GET/api/audit-log?action=&subject_type=&per_page=25Historial de auditoría paginado: altas/bajas de usuarios, cambios de rol, clientes OAuth creados/revocados (requiere audit.view).

    Ejemplo de respuesta de usuario

    @@ -532,11 +711,18 @@ client_credentials, que no tiene usuario asociado):

    POST/api/clientsRegistrar un cliente nuevo (devuelve plain_secret una sola vez). PUT/api/clients/{id}Editar nombre/redirect URIs. DELETE/api/clients/{id}Revocar el cliente y sus tokens. +POST/api/clients/{id}/rotate-secretRotar el client_secret (solo clientes confidenciales). Devuelve plain_secret una sola vez; el secret anterior sigue valiendo 48h. GET/api/personal-access-tokensListar tus Personal Access Tokens. POST/api/personal-access-tokensCrear uno (el token se muestra una sola vez). DELETE/api/personal-access-tokens/{id}Revocarlo. GET/api/authorized-appsApps de terceros a las que le diste acceso. DELETE/api/authorized-apps/{tokenId}Revocarle el acceso a una. +GET/api/clients/{id}/webhooksListar los webhooks de uno de tus clientes (ver sección 12). +POST/api/clients/{id}/webhooksRegistrar un webhook nuevo (devuelve secret una sola vez). +PUT/api/clients/{id}/webhooks/{webhookId}Editar URL, eventos o pausar/reanudar. +DELETE/api/clients/{id}/webhooks/{webhookId}Borrar un webhook. +GET/api/clients/{id}/webhooks/{webhookId}/deliveriesHistorial paginado de intentos de entrega. +POST/api/clients/{id}/webhooks/{webhookId}/deliveries/{deliveryId}/retryReintentar manualmente una entrega puntual.

    Scopes disponibles

    @@ -558,7 +744,80 @@ client_credentials, que no tiene usuario asociado):

    -

    10. Documentación interactiva (Swagger)

    +

    12. Webhooks: enterate sin hacer polling

    +

    +Cada cliente OAuth puede registrar uno o más endpoints webhook desde /clients → botón +"Webhooks" (o por API, sección 11). Cuando pasa algo relevante para ese cliente, este servidor le manda un +POST con el evento — no hace falta consultar la API cada tanto para enterarse. +

    +

    Eventos disponibles

    + + + + +
    EventoCuándo se disparaA quién le llega
    token.revokedSe revoca un token de ese cliente — por el usuario dueño (self-service), por un admin (Sesiones activas, sección 4), o en cascada al revocar el cliente entero.Los webhooks de ese cliente.
    user.deactivatedUn admin desactiva un usuario.Los webhooks de todo cliente que tenga al menos un token vigente para ese usuario en ese momento.
    +

    Con token.revoked tu app se entera al instante de que ya no tiene acceso a la cuenta de ese +usuario (por ejemplo, para cerrarle la sesión local), en vez de esperar a que el token expire solo.

    + +

    URLs permitidas

    +
    + Protección anti-SSRF: la URL de un webhook tiene que resolver a una dirección pública. + Se rechazan localhost, IPs loopback (127.0.0.0/8), privadas + (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) y de link-local + (169.254.0.0/16 — incluye el endpoint de metadata de instancia en AWS/GCP/Azure, + 169.254.169.254). También esquemas que no sean http/https. + Sin esto, cualquiera que registre un client podría hacer que este servidor le pegue a servicios internos + (Redis, la propia API, metadata de la nube) y leer la respuesta en el panel — el clásico ataque SSRF. + La validación se repite justo antes de cada envío, no solo al crear el webhook: un dominio público hoy + podría resolver a una IP interna mañana (DNS rebinding). +
    + +

    Verificar la firma

    +

    +Cada entrega incluye el header X-Webhook-Signature: sha256={firma}, un HMAC-SHA256 del body crudo +(JSON) usando el secret que se te mostró al crear el webhook (una sola vez, igual que un +client_secret — si lo perdiste, borrá el webhook y creá uno nuevo). Verificalo antes de confiar en +el payload: +

    +
    // Node.js
+import crypto from 'crypto';
+
+function isValid(rawBody: string, signatureHeader: string, secret: string): boolean {
+  const expected = 'sha256=' + crypto.createHmac('sha256', secret).update(rawBody).digest('hex');
+  return crypto.timingSafeEqual(Buffer.from(signatureHeader), Buffer.from(expected));
+}
    +

    El body tiene forma {"event": "token.revoked", "data": {...}}. El header +X-Webhook-Event repite el nombre del evento, por si preferís ramificar por header sin parsear el body.

    + +

    Reintentos

    +
    + Si tu endpoint no responde 2xx (o no responde en 5 segundos), se reintenta hasta 2 veces más + con backoff creciente (10s, 60s, 300s). Después de 3 intentos fallidos, se abandona esa entrega — no hay + cola de reintento infinita. Cada intento (éxito o fracaso) queda registrado; el panel muestra el estado del + último envío junto a cada webhook (código de respuesta o "pendiente"). +
    +
    + Pausar en vez de borrar: si tu endpoint va a estar caído un rato (deploy, mantenimiento), + pausalo desde el panel en vez de dejar que fallen los reintentos — un webhook pausado no genera intentos de + entrega hasta que lo reactivés. +
    + +

    Historial de entregas y reintento manual

    +

    +El botón "Ver historial" de cada webhook (junto a Pausar/Borrar) abre el listado paginado de +todas las entregas — no solo la última. Cada fila muestra el código de respuesta (o "pendiente" si nunca +respondió), el evento, cuándo se creó y cuántos intentos acumula. Las entregas que no llegaron a un +2xx tienen un botón "Reintentar": vuelve a encolar el mismo registro (no crea +uno nuevo — el contador de intentos sigue acumulando sobre esa entrega) para forzar un envío inmediato sin +esperar al backoff automático. Útil después de arreglar algo en tu endpoint y no querer esperar los 5 minutos +del backoff. +

    +

    Cada alta y baja de un webhook queda en el audit log (sección 7): client.webhook_created / +client.webhook_deleted.

    +
    + +
    +

    13. Documentación interactiva (Swagger)

    Disponible en http://localhost:8000/api/documentation. Incluye el botón Authorize para probar los tres flujos (Authorization Code, Client Credentials, Password) directamente desde el navegador, usando el cliente de ejemplo "Swagger UI" sembrado (sección 3).

    @@ -566,16 +825,27 @@ usando el cliente de ejemplo "Swagger UI" sembrado (sección 3).

    -

    11. Referencia rápida de rutas

    +

    14. Referencia rápida de rutas

    Interfaz web (sesión, uso interno de esta app)

    - - + + + + + + + + + + + + + @@ -584,7 +854,12 @@ usando el cliente de ejemplo "Swagger UI" sembrado (sección 3).

    - + + + + + +
    RutaQué hace
    POST /web-api/registerRegistro — crea la cuenta pendiente, no loguea.
    POST /web-api/login / /logoutAutenticación por sesión.
    GET /web-api/meUsuario logueado (con roles/permisos).
    POST /web-api/login / /logoutAutenticación por sesión. Si el usuario tiene 2FA, /login devuelve {"two_factor":true} en vez de loguear.
    POST /web-api/login/2faSegundo paso del login con 2FA activo (código TOTP o de recuperación).
    POST /web-api/forgot-passwordPedir el enlace de restablecimiento (respuesta genérica, exista o no la cuenta).
    POST /web-api/reset-passwordConfirmar el restablecimiento con el token del email — revoca todas las sesiones activas.
    GET /web-api/meUsuario logueado (con roles/permisos y two_factor_enabled).
    POST /web-api/2fa/setupGenera secreto pendiente + QR para activar 2FA.
    POST /web-api/2fa/confirmConfirma la activación con un código real — devuelve los códigos de recuperación una vez.
    POST /web-api/2fa/disableDesactiva 2FA (requiere contraseña actual).
    POST /web-api/2fa/recovery-codesRegenera los códigos de recuperación (requiere contraseña actual).
    GET/POST/PUT/DELETE /web-api/clientsClientes OAuth propios.
    POST /web-api/clients/{id}/rotate-secretRotar el client_secret de un cliente confidencial propio (secret anterior válido 48h más).
    GET/POST/DELETE /web-api/personal-access-tokensPersonal Access Tokens propios.
    GET/DELETE /web-api/authorized-appsApps de terceros autorizadas.
    GET/POST/PUT/DELETE /web-api/clients/{id}/webhooksWebhooks de un cliente propio.
    GET /web-api/clients/{id}/webhooks/{webhookId}/deliveriesHistorial paginado de entregas de un webhook propio.
    POST /web-api/clients/{id}/webhooks/{webhookId}/deliveries/{deliveryId}/retryReintentar manualmente una entrega.
    GET/POST/PUT/DELETE /web-api/admin/usersAdministración de usuarios (admin).
    GET /web-api/admin/users/trashedUsuarios en la papelera (admin).
    POST /web-api/admin/users/{id}/restoreRestaurar un usuario borrado (admin).
    POST /web-api/admin/users/{id}/approveAprobar un registro pendiente (admin).
    GET /web-api/admin/appsListado de todas las apps registradas (admin).
    GET/POST/DELETE /web-api/admin/users/{id}/app-rolesRoles por app de un usuario (admin).
    GET /web-api/admin/analytics/summarySesiones, logins y actividad (admin).
    GET /web-api/admin/users/{id}/sessionsTokens OAuth activos de un usuario (admin).
    DELETE /web-api/admin/users/{id}/sessions/{tokenId}Revocar una sesión puntual (admin).
    DELETE /web-api/admin/users/{id}/sessionsRevocar todas las sesiones activas de un usuario (admin).
    GET /web-api/admin/analytics/summarySesiones, logins, funnel de autorización, tokens activos, uso de scopes y actividad (admin).
    GET /web-api/admin/audit-logHistorial de auditoría paginado y filtrable (admin).
    POST /web-api/oauth/authorize-eventsRegistro interno del funnel de autorización (llamado por la pantalla de consentimiento, no pensado para uso directo).
    POST /web-api/localeCambiar idioma (es/en/ca).
    @@ -594,6 +869,13 @@ usando el cliente de ejemplo "Swagger UI" sembrado (sección 3).

    GET /oauth/authorizeInicio del flujo Authorization Code (pantalla de consentimiento). POST /oauth/tokenEmisión/renovación de tokens (todos los grant types). +
    + Rate limiting: todas las rutas /oauth/* admiten 20 requests por minuto por + combinación de IP + client_id — protege especialmente al Password Grant (usuario/contraseña + directos contra /oauth/token) de fuerza bruta, sin penalizar a otros clientes si uno solo + está siendo atacado. Va además del throttle genérico (60/min por IP) que Passport ya trae + por defecto en /oauth/token. +

    API REST (Bearer token, para apps externas — Angular, Flutter, lo que sea)

    @@ -606,11 +888,17 @@ usando el cliente de ejemplo "Swagger UI" sembrado (sección 3).

    + - + + + + + +
    GET /api/users/pendingRegistros pendientes de aprobación.
    POST /api/users/{id}/approveAprobar un registro pendiente.
    GET/POST/DELETE /api/users/{id}/app-rolesRoles por app de un usuario.
    GET/DELETE /api/users/{id}/sessionsTokens OAuth activos de un usuario; revocar uno o todos.
    GET /api/appsListado de apps registradas.
    GET /api/analytics/summarySesiones, logins y actividad.
    GET /api/analytics/summarySesiones, logins, funnel de autorización, tokens activos, uso de scopes y actividad.
    GET /api/audit-logHistorial de auditoría paginado y filtrable.
    GET/POST/PUT/DELETE /api/clientsTus clientes OAuth.
    POST /api/clients/{id}/rotate-secretRotar el client_secret de un cliente confidencial (secret anterior válido 48h más).
    GET/POST/DELETE /api/personal-access-tokensTus Personal Access Tokens.
    GET/DELETE /api/authorized-appsApps de terceros que autorizaste.
    GET/POST/PUT/DELETE /api/clients/{id}/webhooksWebhooks de uno de tus clientes.
    GET /api/clients/{id}/webhooks/{webhookId}/deliveriesHistorial paginado de entregas de un webhook.
    POST /api/clients/{id}/webhooks/{webhookId}/deliveries/{deliveryId}/retryReintentar manualmente una entrega.
    OAuth2 Identity Server — Manual de uso · generado automáticamente a partir del estado actual del proyecto.
    diff --git a/docs/manual-usuario.pdf b/docs/manual-usuario.pdf index f1ed30c..acafcba 100644 Binary files a/docs/manual-usuario.pdf and b/docs/manual-usuario.pdf differ diff --git a/lang/ca/messages.php b/lang/ca/messages.php index a8ea3a7..4fa372f 100644 --- a/lang/ca/messages.php +++ b/lang/ca/messages.php @@ -10,4 +10,17 @@ return [ 'cannot_delete_last_admin' => 'No pots esborrar l\'últim administrador.', 'self_service_requires_user' => 'Aquest recurs és self-service: necessita un token amb un usuari associat (no funciona amb client_credentials).', 'user_not_trashed' => 'Aquest usuari no és a la paperera.', + 'two_factor_already_enabled' => 'Ja tens el 2FA activat. Desactiva\'l abans de tornar-lo a configurar.', + 'two_factor_not_pending' => 'No hi ha cap activació de 2FA pendent de confirmar.', + 'invalid_two_factor_code' => 'Codi no vàlid. Torna-ho a provar o fes servir un codi de recuperació.', + 'invalid_password' => 'Contrasenya incorrecta.', + 'two_factor_not_enabled' => 'Encara no has activat el 2FA.', + 'webhook_url_not_allowed' => 'Aquesta URL no es pot fer servir per a un webhook: no resol a una adreça pública (localhost, IPs privades i de metadata de núvol estan bloquejades).', + 'client_not_confidential' => 'Aquest client no té secret (és públic) — no hi ha res a rotar.', + 'password_reset_link_sent' => 'Si existeix un compte amb aquest email, t\'hem enviat un enllaç per a restablir la contrasenya.', + 'reset_password_subject' => 'Restableix la teva contrasenya', + 'reset_password_intro' => 'Reps aquest email perquè hem rebut una sol·licitud per restablir la contrasenya del teu compte.', + 'reset_password_action' => 'Restablir contrasenya', + 'reset_password_expire' => 'Aquest enllaç caduca en :count minuts.', + 'reset_password_no_action' => 'Si no vas demanar això, no cal que facis res.', ]; diff --git a/lang/en/messages.php b/lang/en/messages.php index 0100f4a..82046dd 100644 --- a/lang/en/messages.php +++ b/lang/en/messages.php @@ -10,4 +10,17 @@ return [ 'cannot_delete_last_admin' => "You can't delete the last administrator.", 'self_service_requires_user' => 'This resource is self-service: it needs a token with an associated user (does not work with client_credentials).', 'user_not_trashed' => 'This user is not in the trash.', + 'two_factor_already_enabled' => 'You already have 2FA enabled. Disable it before setting it up again.', + 'two_factor_not_pending' => 'There is no pending 2FA setup to confirm.', + 'invalid_two_factor_code' => 'Invalid code. Try again or use a recovery code.', + 'invalid_password' => 'Incorrect password.', + 'two_factor_not_enabled' => "You haven't enabled 2FA yet.", + 'webhook_url_not_allowed' => "That URL can't be used for a webhook: it doesn't resolve to a public address (localhost, private IPs, and cloud metadata addresses are blocked).", + 'client_not_confidential' => "This client doesn't have a secret (it's public) — there's nothing to rotate.", + 'password_reset_link_sent' => "If an account exists with that email, we've sent a link to reset the password.", + 'reset_password_subject' => 'Reset your password', + 'reset_password_intro' => "You're receiving this email because we received a password reset request for your account.", + 'reset_password_action' => 'Reset password', + 'reset_password_expire' => 'This link expires in :count minutes.', + 'reset_password_no_action' => "If you didn't request this, no further action is required.", ]; diff --git a/lang/es/messages.php b/lang/es/messages.php index e6e1c88..8b5e592 100644 --- a/lang/es/messages.php +++ b/lang/es/messages.php @@ -10,4 +10,17 @@ return [ 'cannot_delete_last_admin' => 'No podés borrar al último administrador.', 'self_service_requires_user' => 'Este recurso es self-service: necesita un token con usuario asociado (no funciona con client_credentials).', 'user_not_trashed' => 'Este usuario no está en la papelera.', + 'two_factor_already_enabled' => 'Ya tenés 2FA activo. Desactivalo antes de volver a configurarlo.', + 'two_factor_not_pending' => 'No hay ninguna activación de 2FA pendiente de confirmar.', + 'invalid_two_factor_code' => 'Código inválido. Probá de nuevo o usá un código de recuperación.', + 'invalid_password' => 'Contraseña incorrecta.', + 'two_factor_not_enabled' => 'Todavía no activaste el 2FA.', + 'webhook_url_not_allowed' => 'Esa URL no se puede usar para un webhook: no resuelve a una dirección pública (localhost, IPs privadas y de metadata de nube están bloqueadas).', + 'client_not_confidential' => 'Este cliente no tiene secret (es público) — no hay nada que rotar.', + 'password_reset_link_sent' => 'Si existe una cuenta con ese email, te enviamos un enlace para restablecer la contraseña.', + 'reset_password_subject' => 'Restablecé tu contraseña', + 'reset_password_intro' => 'Recibiste este email porque pedimos restablecer la contraseña de tu cuenta.', + 'reset_password_action' => 'Restablecer contraseña', + 'reset_password_expire' => 'Este enlace vence en :count minutos.', + 'reset_password_no_action' => 'Si no pediste esto, no hace falta que hagas nada.', ]; diff --git a/package-lock.json b/package-lock.json index 9e50a9f..1fdeee6 100644 --- a/package-lock.json +++ b/package-lock.json @@ -7,12 +7,14 @@ "dependencies": { "axios": "^1.18.1", "pinia": "^4.0.2", + "qrcode": "^1.5.4", "vue": "^3.5.40", "vue-i18n": "^11.4.7", "vue-router": "^5.2.0" }, "devDependencies": { "@types/node": "^26.1.1", + "@types/qrcode": "^1.5.6", "@vitejs/plugin-vue": "^6.0.8", "@vue/tsconfig": "^0.9.1", "concurrently": "^9.0.1", @@ -880,6 +882,16 @@ "undici-types": "~8.3.0" } }, + "node_modules/@types/qrcode": { + "version": "1.5.6", + "resolved": "https://registry.npmjs.org/@types/qrcode/-/qrcode-1.5.6.tgz", + "integrity": "sha512-te7NQcV2BOvdj2b1hCAHzAoMNuj65kNBMz0KBaxM6c3VGBOhU0dURQKOtH8CFNI/dsKkwlv32p26qYQTWoB5bw==", + "dev": true, + "license": "MIT", + "dependencies": { + "@types/node": "*" + } + }, "node_modules/@vitejs/plugin-vue": { "version": "6.0.8", "resolved": "https://registry.npmjs.org/@vitejs/plugin-vue/-/plugin-vue-6.0.8.tgz", @@ -1148,7 +1160,6 @@ "version": "5.0.1", "resolved": "https://registry.npmjs.org/ansi-regex/-/ansi-regex-5.0.1.tgz", "integrity": "sha512-quJQXlTSUGL2LH9SUXo8VwsY4soanhgo6LNSm84E1LBcE8s3O0wpdiRzyR9z/ZZJMlMWv37qOOb9pdJlMUEKFQ==", - "dev": true, "license": "MIT", "engines": { "node": ">=8" @@ -1158,7 +1169,6 @@ "version": "4.3.0", "resolved": "https://registry.npmjs.org/ansi-styles/-/ansi-styles-4.3.0.tgz", "integrity": "sha512-zbB9rCJAT1rbjiVDb2hqKFHNYLxgtk8NURxZ3IZwD3F6NtxbXZQCnnSi1Lkx+IDohdPlFp222wVALIheZJQSEg==", - "dev": true, "license": "MIT", "dependencies": { "color-convert": "^2.0.1" @@ -1243,6 +1253,15 @@ "node": ">= 0.4" } }, + "node_modules/camelcase": { + "version": "5.3.1", + "resolved": "https://registry.npmjs.org/camelcase/-/camelcase-5.3.1.tgz", + "integrity": "sha512-L28STB170nwWS63UjtlEOE3dldQApaJXZkOI1uMFfzf3rRuPegHaHesyee+YxQ+W6SvRDQV6UrdOdRiR153wJg==", + "license": "MIT", + "engines": { + "node": ">=6" + } + }, "node_modules/chalk": { "version": "4.1.2", "resolved": "https://registry.npmjs.org/chalk/-/chalk-4.1.2.tgz", @@ -1307,7 +1326,6 @@ "version": "2.0.1", "resolved": "https://registry.npmjs.org/color-convert/-/color-convert-2.0.1.tgz", "integrity": "sha512-RRECPsj7iu/xb5oKYcsFHSppFNnsj/52OVTRKb4zP5onXwVF3zVmmToNcOfGC+CRDpfK/U584fMg38ZHCaElKQ==", - "dev": true, "license": "MIT", "dependencies": { "color-name": "~1.1.4" @@ -1320,7 +1338,6 @@ "version": "1.1.4", "resolved": "https://registry.npmjs.org/color-name/-/color-name-1.1.4.tgz", "integrity": "sha512-dOy+3AuW3a2wNbZHIuMZpTcgjGuLU/uBL/ubcZF9OXbDo8ff4O8yVp5Bf0efS8uEoYo5q4Fx7dY9OgQGXgAsQA==", - "dev": true, "license": "MIT" }, "node_modules/combined-stream": { @@ -1389,6 +1406,15 @@ } } }, + "node_modules/decamelize": { + "version": "1.2.0", + "resolved": "https://registry.npmjs.org/decamelize/-/decamelize-1.2.0.tgz", + "integrity": "sha512-z2S+W9X73hAUUki+N+9Za2lBlun89zigOyGrsax+KUQ6wKW4ZoWpEYBkGhQjwAjjDCkWxhY0VKEhk8wzY7F5cA==", + "license": "MIT", + "engines": { + "node": ">=0.10.0" + } + }, "node_modules/delayed-stream": { "version": "1.0.0", "resolved": "https://registry.npmjs.org/delayed-stream/-/delayed-stream-1.0.0.tgz", @@ -1408,6 +1434,12 @@ "node": ">=8" } }, + "node_modules/dijkstrajs": { + "version": "1.0.3", + "resolved": "https://registry.npmjs.org/dijkstrajs/-/dijkstrajs-1.0.3.tgz", + "integrity": "sha512-qiSlmBq9+BCdCA/L46dw8Uy93mloxsPSbwnm5yrKn2vMPiy8KyAskTF6zuV/j5BMsmOGZDPs7KjU+mjb670kfA==", + "license": "MIT" + }, "node_modules/dunder-proto": { "version": "1.0.1", "resolved": "https://registry.npmjs.org/dunder-proto/-/dunder-proto-1.0.1.tgz", @@ -1426,7 +1458,6 @@ "version": "8.0.0", "resolved": "https://registry.npmjs.org/emoji-regex/-/emoji-regex-8.0.0.tgz", "integrity": "sha512-MSjYzcWNOA0ewAHpz0MxpYFvwg6yjy1NG3xteoqz644VCo/RPgnr1/GGt+ic3iJTzQ8Eu3TdM14SawnVUmGE6A==", - "dev": true, "license": "MIT" }, "node_modules/entities": { @@ -1525,6 +1556,19 @@ } } }, + "node_modules/find-up": { + "version": "4.1.0", + "resolved": "https://registry.npmjs.org/find-up/-/find-up-4.1.0.tgz", + "integrity": "sha512-PpOwAdQ/YlXQ2vj8a3h8IipDuYRi3wceVQQGYWxNINccq40Anw7BlsEXCMbt1Zt+OLA6Fq9suIpIWD0OsnISlw==", + "license": "MIT", + "dependencies": { + "locate-path": "^5.0.0", + "path-exists": "^4.0.0" + }, + "engines": { + "node": ">=8" + } + }, "node_modules/follow-redirects": { "version": "1.16.0", "resolved": "https://registry.npmjs.org/follow-redirects/-/follow-redirects-1.16.0.tgz", @@ -1589,7 +1633,6 @@ "version": "2.0.5", "resolved": "https://registry.npmjs.org/get-caller-file/-/get-caller-file-2.0.5.tgz", "integrity": "sha512-DyFP3BM/3YHTQOCUL/w0OZHR0lpKeGrxotcHWcqNEdnltqFwXVfhEBQ94eIo34AfQpo0rGki4cyIiftY06h2Fg==", - "dev": true, "license": "ISC", "engines": { "node": "6.* || 8.* || >= 10.*" @@ -1734,7 +1777,6 @@ "version": "3.0.0", "resolved": "https://registry.npmjs.org/is-fullwidth-code-point/-/is-fullwidth-code-point-3.0.0.tgz", "integrity": "sha512-zymm5+u+sCsSWyD9qNaejV3DFvhCKclKdizYaJUuHA83RLjb7nSuGnddCHGv0hk+KY7BMAlsWeK4Ueg6EV6XQg==", - "dev": true, "license": "MIT", "engines": { "node": ">=8" @@ -2095,6 +2137,18 @@ "url": "https://github.com/sponsors/antfu" } }, + "node_modules/locate-path": { + "version": "5.0.0", + "resolved": "https://registry.npmjs.org/locate-path/-/locate-path-5.0.0.tgz", + "integrity": "sha512-t7hw9pI+WvuwNJXwk5zVHpyhIqzg2qTlklJOf0mVxGSbe3Fp2VieZcduNYjaLDoy6p9uGpQEGWG87WpMKlNq8g==", + "license": "MIT", + "dependencies": { + "p-locate": "^4.1.0" + }, + "engines": { + "node": ">=8" + } + }, "node_modules/magic-string": { "version": "0.30.21", "resolved": "https://registry.npmjs.org/magic-string/-/magic-string-0.30.21.tgz", @@ -2222,6 +2276,42 @@ "integrity": "sha512-FGqEfhQjrvo1lL8KFifdTQiNwwQHJxC1jtYE1Rc54qF/jxONUNL+kC9gS1krX8Q65PgrQ5fCqH/I4NhWBvdSqg==", "license": "MIT" }, + "node_modules/p-limit": { + "version": "2.3.0", + "resolved": "https://registry.npmjs.org/p-limit/-/p-limit-2.3.0.tgz", + "integrity": "sha512-//88mFWSJx8lxCzwdAABTJL2MyWB12+eIY7MDL2SqLmAkeKU9qxRvWuSyTjm3FUmpBEMuFfckAIqEaVGUDxb6w==", + "license": "MIT", + "dependencies": { + "p-try": "^2.0.0" + }, + "engines": { + "node": ">=6" + }, + "funding": { + "url": "https://github.com/sponsors/sindresorhus" + } + }, + "node_modules/p-locate": { + "version": "4.1.0", + "resolved": "https://registry.npmjs.org/p-locate/-/p-locate-4.1.0.tgz", + "integrity": "sha512-R79ZZ/0wAxKGu3oYMlz8jy/kbhsNrS7SKZ7PxEHBgJ5+F2mtFW2fK2cOtBh1cHYkQsbzFV7I+EoRKe6Yt0oK7A==", + "license": "MIT", + "dependencies": { + "p-limit": "^2.2.0" + }, + "engines": { + "node": ">=8" + } + }, + "node_modules/p-try": { + "version": "2.2.0", + "resolved": "https://registry.npmjs.org/p-try/-/p-try-2.2.0.tgz", + "integrity": "sha512-R4nPAVTAU0B9D35/Gk3uJf/7XYbQcyohSKdvAxIRSNghFl4e71hVoGnBNQz9cWaXxO2I10KTC+3jMdvvoKw6dQ==", + "license": "MIT", + "engines": { + "node": ">=6" + } + }, "node_modules/path-browserify": { "version": "1.0.1", "resolved": "https://registry.npmjs.org/path-browserify/-/path-browserify-1.0.1.tgz", @@ -2229,6 +2319,15 @@ "dev": true, "license": "MIT" }, + "node_modules/path-exists": { + "version": "4.0.0", + "resolved": "https://registry.npmjs.org/path-exists/-/path-exists-4.0.0.tgz", + "integrity": "sha512-ak9Qy5Q7jYb2Wwcey5Fpvg2KoAc/ZIhLSLOSBmRmygPsGwkVVt0fZa0qrtMz+m6tJTAHfZQ8FnmB4MG4LWy7/w==", + "license": "MIT", + "engines": { + "node": ">=8" + } + }, "node_modules/pathe": { "version": "2.0.3", "resolved": "https://registry.npmjs.org/pathe/-/pathe-2.0.3.tgz", @@ -2295,6 +2394,15 @@ "pathe": "^2.0.3" } }, + "node_modules/pngjs": { + "version": "5.0.0", + "resolved": "https://registry.npmjs.org/pngjs/-/pngjs-5.0.0.tgz", + "integrity": "sha512-40QW5YalBNfQo5yRYmiw7Yz6TKKVr3h6970B2YE+3fQpsWcrbj1PzJgxeJ19DRQjhMbKPIuMY8rFaXc8moolVw==", + "license": "MIT", + "engines": { + "node": ">=10.13.0" + } + }, "node_modules/postcss": { "version": "8.5.23", "resolved": "https://registry.npmjs.org/postcss/-/postcss-8.5.23.tgz", @@ -2332,6 +2440,89 @@ "node": ">=10" } }, + "node_modules/qrcode": { + "version": "1.5.4", + "resolved": "https://registry.npmjs.org/qrcode/-/qrcode-1.5.4.tgz", + "integrity": "sha512-1ca71Zgiu6ORjHqFBDpnSMTR2ReToX4l1Au1VFLyVeBTFavzQnv5JxMFr3ukHVKpSrSA2MCk0lNJSykjUfz7Zg==", + "license": "MIT", + "dependencies": { + "dijkstrajs": "^1.0.1", + "pngjs": "^5.0.0", + "yargs": "^15.3.1" + }, + "bin": { + "qrcode": "bin/qrcode" + }, + "engines": { + "node": ">=10.13.0" + } + }, + "node_modules/qrcode/node_modules/cliui": { + "version": "6.0.0", + "resolved": "https://registry.npmjs.org/cliui/-/cliui-6.0.0.tgz", + "integrity": "sha512-t6wbgtoCXvAzst7QgXxJYqPt0usEfbgQdftEPbLL/cvv6HPE5VgvqCuAIDR0NgU52ds6rFwqrgakNLrHEjCbrQ==", + "license": "ISC", + "dependencies": { + "string-width": "^4.2.0", + "strip-ansi": "^6.0.0", + "wrap-ansi": "^6.2.0" + } + }, + "node_modules/qrcode/node_modules/wrap-ansi": { + "version": "6.2.0", + "resolved": "https://registry.npmjs.org/wrap-ansi/-/wrap-ansi-6.2.0.tgz", + "integrity": "sha512-r6lPcBGxZXlIcymEu7InxDMhdW0KDxpLgoFLcguasxCaJ/SOIZwINatK9KY/tf+ZrlywOKU0UDj3ATXUBfxJXA==", + "license": "MIT", + "dependencies": { + "ansi-styles": "^4.0.0", + "string-width": "^4.1.0", + "strip-ansi": "^6.0.0" + }, + "engines": { + "node": ">=8" + } + }, + "node_modules/qrcode/node_modules/y18n": { + "version": "4.0.3", + "resolved": "https://registry.npmjs.org/y18n/-/y18n-4.0.3.tgz", + "integrity": "sha512-JKhqTOwSrqNA1NY5lSztJ1GrBiUodLMmIZuLiDaMRJ+itFd+ABVE8XBjOvIWL+rSqNDC74LCSFmlb/U4UZ4hJQ==", + "license": "ISC" + }, + "node_modules/qrcode/node_modules/yargs": { + "version": "15.4.1", + "resolved": "https://registry.npmjs.org/yargs/-/yargs-15.4.1.tgz", + "integrity": "sha512-aePbxDmcYW++PaqBsJ+HYUFwCdv4LVvdnhBy78E57PIor8/OVvhMrADFFEDh8DHDFRv/O9i3lPhsENjO7QX0+A==", + "license": "MIT", + "dependencies": { + "cliui": "^6.0.0", + "decamelize": "^1.2.0", + "find-up": "^4.1.0", + "get-caller-file": "^2.0.1", + "require-directory": "^2.1.1", + "require-main-filename": "^2.0.0", + "set-blocking": "^2.0.0", + "string-width": "^4.2.0", + "which-module": "^2.0.0", + "y18n": "^4.0.0", + "yargs-parser": "^18.1.2" + }, + "engines": { + "node": ">=8" + } + }, + "node_modules/qrcode/node_modules/yargs-parser": { + "version": "18.1.3", + "resolved": "https://registry.npmjs.org/yargs-parser/-/yargs-parser-18.1.3.tgz", + "integrity": "sha512-o50j0JeToy/4K6OZcaQmW6lyXXKhq7csREXcDwk2omFPJEwUNOVtJKvmDr9EI1fAJZUyZcRF7kxGBWmRXudrCQ==", + "license": "ISC", + "dependencies": { + "camelcase": "^5.0.0", + "decamelize": "^1.2.0" + }, + "engines": { + "node": ">=6" + } + }, "node_modules/quansync": { "version": "0.2.11", "resolved": "https://registry.npmjs.org/quansync/-/quansync-0.2.11.tgz", @@ -2365,12 +2556,17 @@ "version": "2.1.1", "resolved": "https://registry.npmjs.org/require-directory/-/require-directory-2.1.1.tgz", "integrity": "sha512-fGxEI7+wsG9xrvdjsrlmL22OMTTiHRwAMroiEeMgq8gzoLC/PQr7RsRDSTLUg/bZAZtF+TVIkHc6/4RIKrui+Q==", - "dev": true, "license": "MIT", "engines": { "node": ">=0.10.0" } }, + "node_modules/require-main-filename": { + "version": "2.0.0", + "resolved": "https://registry.npmjs.org/require-main-filename/-/require-main-filename-2.0.0.tgz", + "integrity": "sha512-NKN5kMDylKuldxYLSUfrbo5Tuzh4hd+2E8NPPX02mZtn1VuREQToYe/ZdlJy+J3uCpfaiGF05e7B8W0iXbQHmg==", + "license": "ISC" + }, "node_modules/rolldown": { "version": "1.1.5", "resolved": "https://registry.npmjs.org/rolldown/-/rolldown-1.1.5.tgz", @@ -2442,6 +2638,12 @@ "integrity": "sha512-6FtHJEvt+pVMIB9IBY+IcCJ6Z5f1iQnytgyfKMhDKgmzYG+TeH/wx1y3l27rshSbLiSanrR9ffZDrEsmjlQF2g==", "license": "MIT" }, + "node_modules/set-blocking": { + "version": "2.0.0", + "resolved": "https://registry.npmjs.org/set-blocking/-/set-blocking-2.0.0.tgz", + "integrity": "sha512-KiKBS8AnWGEyLzofFfmvKwpdPzqiy16LvQfK3yv/fVH7Bj13/wl3JSR1J+rfgRE9q7xUJK4qvgS8raSOeLUehw==", + "license": "ISC" + }, "node_modules/shell-quote": { "version": "1.9.0", "resolved": "https://registry.npmjs.org/shell-quote/-/shell-quote-1.9.0.tgz", @@ -2468,7 +2670,6 @@ "version": "4.2.3", "resolved": "https://registry.npmjs.org/string-width/-/string-width-4.2.3.tgz", "integrity": "sha512-wKyQRQpjJ0sIp62ErSZdGsjMJWsap5oRNihHhu6G7JVO/9jIB6UyevL+tXuOqrng8j/cxKTWyWUwvSTriiZz/g==", - "dev": true, "license": "MIT", "dependencies": { "emoji-regex": "^8.0.0", @@ -2483,7 +2684,6 @@ "version": "6.0.1", "resolved": "https://registry.npmjs.org/strip-ansi/-/strip-ansi-6.0.1.tgz", "integrity": "sha512-Y38VPSHcqkFrCpFnQ9vuSXmquuv5oXOKpGeT6aGrr3o3Gc9AlVa6JBfUSOCnbxGGZF+/0ooI7KrPuUSztUdU5A==", - "dev": true, "license": "MIT", "dependencies": { "ansi-regex": "^5.0.1" @@ -2868,6 +3068,12 @@ "integrity": "sha512-66/V2i5hQanC51vBQKPH4aI8NMAcBW59FVBs+rC7eGHupMyfn34q7rZIE+ETlJ+XTevqfUhVVBgSUNSW2flEUQ==", "license": "MIT" }, + "node_modules/which-module": { + "version": "2.0.1", + "resolved": "https://registry.npmjs.org/which-module/-/which-module-2.0.1.tgz", + "integrity": "sha512-iBdZ57RDvnOR9AGBhML2vFZf7h8vmBjhoaZqODJBFWHVtKkDmKuHai3cx5PgVMrX5YDNp27AofYbAwctSS+vhQ==", + "license": "ISC" + }, "node_modules/wrap-ansi": { "version": "7.0.0", "resolved": "https://registry.npmjs.org/wrap-ansi/-/wrap-ansi-7.0.0.tgz", diff --git a/package.json b/package.json index 0b5cbf0..984e9ea 100644 --- a/package.json +++ b/package.json @@ -9,6 +9,7 @@ }, "devDependencies": { "@types/node": "^26.1.1", + "@types/qrcode": "^1.5.6", "@vitejs/plugin-vue": "^6.0.8", "@vue/tsconfig": "^0.9.1", "concurrently": "^9.0.1", @@ -21,6 +22,7 @@ "dependencies": { "axios": "^1.18.1", "pinia": "^4.0.2", + "qrcode": "^1.5.4", "vue": "^3.5.40", "vue-i18n": "^11.4.7", "vue-router": "^5.2.0" diff --git a/public/images/favicon.png b/public/images/favicon.png new file mode 100644 index 0000000..f58892d Binary files /dev/null and b/public/images/favicon.png differ diff --git a/resources/images/logo-black.png b/resources/images/logo-black.png new file mode 100644 index 0000000..1a87be3 Binary files /dev/null and b/resources/images/logo-black.png differ diff --git a/resources/images/logo-symbol.png b/resources/images/logo-symbol.png new file mode 100644 index 0000000..dc8d75d Binary files /dev/null and b/resources/images/logo-symbol.png differ diff --git a/resources/images/logo-white.png b/resources/images/logo-white.png new file mode 100644 index 0000000..46dc7ad Binary files /dev/null and b/resources/images/logo-white.png differ diff --git a/resources/js/App.vue b/resources/js/App.vue index 97c432c..6f88d99 100644 --- a/resources/js/App.vue +++ b/resources/js/App.vue @@ -5,6 +5,7 @@ import { useI18n } from 'vue-i18n'; import axios from 'axios'; import { useAuthStore } from './stores/auth'; import { useTheme } from './composables/useTheme'; +import AppLogo from './components/AppLogo.vue'; const auth = useAuthStore(); const route = useRoute(); @@ -40,56 +41,58 @@ const navLinks = computed(() => [ { to: '/clients', name: 'clients', label: t('nav.clients') }, { to: '/tokens', name: 'tokens', label: t('nav.tokens') }, { to: '/authorized-apps', name: 'authorized-apps', label: t('nav.authorizedApps') }, + { to: '/security', name: 'security', label: t('nav.security') }, ...(auth.isAdmin ? [{ to: '/admin/users', name: 'admin-users', label: t('nav.users') }] : []), ...(auth.isAdmin ? [{ to: '/admin/analytics', name: 'admin-analytics', label: t('nav.analytics') }] : []), + ...(auth.isAdmin ? [{ to: '/admin/audit-log', name: 'admin-audit-log', label: t('nav.auditLog') }] : []), ]);