Erro ao validar token Bearer

[Alt-C-Developer]

Quando utilizamos o Middlewares Horse.JWT com uma token inválida (token com conteúdo alterado de proposito) ocorre um erro de validação da token no JOSE, mas este erro não é transferido ao Horse. Para exemplificar, se utilizando um exemplo básico como ping e pong com o token acrescido de um caracter por exemplo, a validação internamente ocorre erro mas mesmo assim responde pelo endpoint "pong" erradamente, pois deveria informar que o token esta inválido.
Na minha máquina alterei o Horse.jwt adicionando uma procedure de verificação do token e respondendo a um evendo de erro do horse e não passa para o endpoint, informando que o token está inválido, funcionando como eu acho que é correto

[viniciussanchez]

Você está com todos os fontes atualizados? Lembro de terem relatado um problema parecido no middleware de JWT, mas foi resolvido já.

[Alt-C-Developer]

Boa Tarde Vinicius, Sim estou com a ultima versão disponibilizada no Github. Fiz um tente bem basico, somente com o ping retornando pong e acontece a mesma coisa, como disse, o manipulador de erro não esta informando ao Horse que ocorreu um erro durante o processo de teste do token. Desde já agradeço sua atenção. André Cravo Em qua., 12 de mai. de 2021 às 15:22, Vinicius Sanchez < ***@***.***> escreveu:

…

Você está com todos os fontes atualizados? Lembro de terem relatado um problema parecido no middleware de JWT, mas foi resolvido já. — You are receiving this because you authored the thread. Reply to this email directly, view it on GitHub <#184 (comment)>, or unsubscribe <https://github.com/notifications/unsubscribe-auth/AQYX7XHJVSSAVCCX4XOPG7TTNLBOFANCNFSM44WSKYOA> .

-- *André Luiz Torres Cravo* Diretor Técnico *Alt_C Sistemas* End.: Rua Valentim Pereira da Rocha, 30 Bairro: Centro - Cataguases - MG CEP: 36770-072 - Tel.: (32) 3421-1800

[Denis-Tek]

Este problema realmente está ocorrendo. Um raise no início de um middleware não está impedindo de executar uma rota. Achei bem estranho isto, mas no meu caso resolvi, fazendo uma checagem no início da minha rota.

if WebResponse.StatusCode <> 200 then // Já deu erro em alguma interceptação ou outro middleware
Exit;

Seria bom se fosse resolvido de outra forma genérica.

[viniciussanchez]

Entendi... obrigado pelo retorno. Vamos verificar o problema

[Alt-C-Developer]

Eu fiz uma alteração que verifica o token dentro do middleaere Horse.JWt que fica de forma generica, e que no momento da verificação capturo o erro e envio um evento de erro do horse e desta forma ele interrompe o processo informando que o token esta invalido.

[Alt-C-Developer]

Abaixo cópia do código que implementei, não sei se esta correto o que fiz mas esta funcionando.

procedure THorseJWTCallback.Callback(AHorseRequest: THorseRequest; AHorseResponse: THorseResponse; ANext: TProc);
var
LBuilder: IJOSEConsumerBuilder;
LValidations: IJOSEConsumer;
LJWT: TJOSEContext;
LToken, LHeaderNormalize: string;
LSession: TObject;
LJSON: TJSONObject;
LClaims: TAltCClaims;

Procedure VerifyTokenComplet;
var
LKeyJWK: TJWK;
LTokenJWT: TJWT;
LSignerJWS: TJWS;
begin
LKeyJWK := TJWK.Create(FSecretJWT);
try
LTokenJWT := TJWT.Create;
try
LSignerJWS := TJWS.Create(LTokenJWT);
try
LSignerJWS.SetKey(LKeyJWK);
LSignerJWS.SkipKeyValidation := True;
try
LSignerJWS.CompactToken := LToken;
LSignerJWS.VerifySignature;
except on E: Exception do
begin
AHorseResponse.Send('Token Inválido').Status(THTTPStatus.Unauthorized);
raise EHorseCallbackInterrupted.Create;
end;
end;
finally
LSignerJWS.Free;
end;
finally
LTokenJWT.Free;
end;
finally
LKeyJWK.Free;
end;
end;

begin
LHeaderNormalize := FHeader;
if Length(LHeaderNormalize) > 0 then
LHeaderNormalize[1] := UpCase(LHeaderNormalize[1]);
LToken := AHorseRequest.Headers[FHeader];
if LToken.Trim.IsEmpty and not AHorseRequest.Query.TryGetValue(FHeader, LToken) and not AHorseRequest.Query.TryGetValue(LHeaderNormalize, LToken) then
begin
AHorseResponse.Send('Token not found').Status(THTTPStatus.Unauthorized);
raise EHorseCallbackInterrupted.Create;
end;
if Pos('bearer', LowerCase(LToken)) = 0 then
begin
AHorseResponse.Send('Invalid authorization type').Status(THTTPStatus.Unauthorized);
raise EHorseCallbackInterrupted.Create;
end;
LToken := LToken.Replace('bearer ', '', [rfIgnoreCase]);

VerifyTokenComplet;
...

[Denis-Tek]

O problema de fazermos esta alteração no middleware ou nas próprias rotas é que sempre precisará ser feito diversas vezes, ao passo que se for feita a correção no núcleo do Horse, uma vez bastaria.