ElPouki
bd8c233e45
* fix(jellyfin): vérifier que le jeton Jellyfin appartient à l'utilisateur annoncé
L'échange du plugin (POST /api/v1/auth/jellyfin) validait le jeton avec
GET /Users/{jellyfinUserId}, que Jellyfin accepte avec le jeton de
n'importe quel utilisateur. Un utilisateur Jellyfin pouvait ainsi obtenir
le jeton d'API FanKarr d'un autre compte, administrateur compris.
Le jeton est maintenant vérifié avec GET /Users/Me, et son propriétaire
doit correspondre à jellyfinUserId.
* feat(auth): connexion avec un compte Jellyfin
Les utilisateurs Jellyfin se connectent à l'interface web avec leurs
identifiants Jellyfin, vérifiés par Jellyfin (POST /Users/AuthenticateByName).
- Import des utilisateurs Jellyfin au choix depuis Paramètres › Jellyfin et
API ; l'import automatique horaire devient un réglage (activé par défaut).
Un compte FanKarr du même nom est lié au lieu d'être recréé.
- Seuls les comptes importés peuvent se connecter avec Jellyfin, sauf si
« Autoriser les comptes pas encore importés » est activé (désactivé par
défaut) : le compte invité est alors créé à la première connexion, depuis
l'interface web ou le plugin.
- Interrupteur « Connexion à FanKarr avec un compte Jellyfin » (activé par
défaut).
- L'identifiant du serveur Jellyfin est enregistré et vérifié à chaque
connexion ; la session Jellyfin ouverte pour la vérification est fermée
aussitôt.
- Connexion limitée à 5 échecs en 15 minutes par nom d'utilisateur et adresse.
- Les comptes importés n'ont pas de mot de passe FanKarr : la page Profil
l'indique, l'administrateur peut toujours en définir un.
38 lines
1.3 KiB
TypeScript
38 lines
1.3 KiB
TypeScript
const MAX_FAILURES = 5
|
|
const WINDOW_MS = 15 * 60_000
|
|
|
|
const failures = new Map<string, { count: number; firstAt: number }>()
|
|
|
|
function keyOf(ip: string, username: string): string {
|
|
return `${ip}|${username.toLowerCase()}`
|
|
}
|
|
|
|
function sweep(now: number): void {
|
|
for (const [key, entry] of failures) {
|
|
if (now - entry.firstAt >= WINDOW_MS) failures.delete(key)
|
|
}
|
|
}
|
|
|
|
// Secondes avant une nouvelle tentative, 0 si la connexion est permise
|
|
export function loginRetryAfter(ip: string, username: string): number {
|
|
const key = keyOf(ip, username)
|
|
const entry = failures.get(key)
|
|
if (!entry) return 0
|
|
const elapsed = Date.now() - entry.firstAt
|
|
if (elapsed >= WINDOW_MS) { failures.delete(key); return 0 }
|
|
return entry.count >= MAX_FAILURES ? Math.ceil((WINDOW_MS - elapsed) / 1000) : 0
|
|
}
|
|
|
|
export function recordLoginFailure(ip: string, username: string): void {
|
|
const now = Date.now()
|
|
if (failures.size > 10_000) sweep(now)
|
|
const key = keyOf(ip, username)
|
|
const entry = failures.get(key)
|
|
if (!entry || now - entry.firstAt >= WINDOW_MS) failures.set(key, { count: 1, firstAt: now })
|
|
else entry.count++
|
|
}
|
|
|
|
export function clearLoginFailures(ip: string, username: string): void {
|
|
failures.delete(keyOf(ip, username))
|
|
}
|