92 lines
3.4 KiB
PHP
92 lines
3.4 KiB
PHP
<?php
|
|
|
|
namespace App\Providers;
|
|
|
|
use Illuminate\Cache\RateLimiting\Limit;
|
|
use Illuminate\Http\Request;
|
|
use Illuminate\Support\Facades\RateLimiter;
|
|
use Illuminate\Support\ServiceProvider;
|
|
use Laravel\Passport\Bridge\ClientRepository as PassportClientRepository;
|
|
use Laravel\Passport\Passport;
|
|
|
|
class AppServiceProvider extends ServiceProvider
|
|
{
|
|
/**
|
|
* Register any application services.
|
|
*/
|
|
public function register(): void
|
|
{
|
|
// Acepta también el client_secret anterior durante su periodo de
|
|
// gracia al rotar — ver App\Services\Passport\ClientRepository.
|
|
$this->app->bind(PassportClientRepository::class, \App\Services\Passport\ClientRepository::class);
|
|
}
|
|
|
|
/**
|
|
* Bootstrap any application services.
|
|
*/
|
|
public function boot(): void
|
|
{
|
|
Passport::enablePasswordGrant();
|
|
Passport::$deviceCodeGrantEnabled = false;
|
|
|
|
Passport::tokensExpireIn(now()->addDays(15));
|
|
Passport::refreshTokensExpireIn(now()->addDays(30));
|
|
Passport::personalAccessTokensExpireIn(now()->addMonths(6));
|
|
|
|
Passport::tokensCan([
|
|
'users:read' => 'Leer usuarios',
|
|
'users:write' => 'Crear, editar y borrar usuarios',
|
|
'account:read' => 'Leer tus clientes OAuth, tokens y apps autorizadas',
|
|
'account:write' => 'Gestionar tus clientes OAuth, tokens y apps autorizadas',
|
|
]);
|
|
|
|
// Sin scope por defecto: los datos de usuarios son sensibles, el cliente
|
|
// tiene que pedir explícitamente el acceso que necesita.
|
|
|
|
// La pantalla de consentimiento la renderiza la SPA Vue (ver Authorize.vue).
|
|
// Passport inyecta client/user/scopes/authToken; se los pasamos al shell Blade
|
|
// como JSON para que el JS los lea (ver resources/views/app.blade.php).
|
|
Passport::authorizationView('app');
|
|
|
|
// Los listeners de app/Listeners se auto-descubren por su handle()
|
|
// tipado (Laravel 11+) — no hace falta Event::listen() acá. Registrarlo
|
|
// a mano ADEMÁS del auto-discovery duplica cada evento (se vio con
|
|
// event:list: cada listener aparecía dos veces), lo que duplicaba
|
|
// filas en login_events y disparaba cada webhook dos veces.
|
|
|
|
$this->configureRateLimiting();
|
|
}
|
|
|
|
/**
|
|
* Límites para endpoints sensibles a fuerza bruta: login, registro y
|
|
* emisión de tokens OAuth. Password grant vive en el mismo endpoint que
|
|
* refresh/client_credentials, así que el límite de /oauth/token se aplica
|
|
* por (ip, client_id) — no penaliza a todos los clientes por igual si uno
|
|
* solo está siendo atacado.
|
|
*/
|
|
private function configureRateLimiting(): void
|
|
{
|
|
RateLimiter::for('login', function (Request $request) {
|
|
$key = strtolower((string) $request->input('email')).'|'.$request->ip();
|
|
|
|
return Limit::perMinute(5)->by($key);
|
|
});
|
|
|
|
RateLimiter::for('register', function (Request $request) {
|
|
return Limit::perMinute(5)->by($request->ip());
|
|
});
|
|
|
|
RateLimiter::for('oauth-token', function (Request $request) {
|
|
$key = $request->ip().'|'.$request->input('client_id');
|
|
|
|
return Limit::perMinute(20)->by($key);
|
|
});
|
|
|
|
RateLimiter::for('password-reset', function (Request $request) {
|
|
$key = strtolower((string) $request->input('email')).'|'.$request->ip();
|
|
|
|
return Limit::perMinute(5)->by($key);
|
|
});
|
|
}
|
|
}
|