75 lines
2.9 KiB
TypeScript
75 lines
2.9 KiB
TypeScript
/**
|
||
* Helpers สำหรับ OIDC + PKCE — เป็น pure functions (แยกจาก useAuth) เพื่อ unit test ได้ง่าย
|
||
* เว็บเป็น top-level page จึงใช้ browser redirect ปกติได้ (ไม่ต้องมี Office Dialog API แบบ add-in)
|
||
*/
|
||
|
||
/** เข้ารหัส bytes เป็น base64url (ไม่มี padding) ตาม RFC 7636 */
|
||
export function toBase64Url(bytes: Uint8Array): string {
|
||
let binary = ''
|
||
for (const b of bytes) binary += String.fromCharCode(b)
|
||
return btoa(binary).replace(/\+/g, '-').replace(/\//g, '_').replace(/=+$/, '')
|
||
}
|
||
|
||
/** code_verifier ของ PKCE — 48 random bytes → base64url 64 อักขระ (อยู่ในช่วง 43–128 ตาม spec) */
|
||
export function generateCodeVerifier(): string {
|
||
const bytes = new Uint8Array(48)
|
||
crypto.getRandomValues(bytes)
|
||
return toBase64Url(bytes)
|
||
}
|
||
|
||
/** state สุ่มสำหรับกัน CSRF — เทียบตอนรับ code กลับ */
|
||
export function generateState(): string {
|
||
const bytes = new Uint8Array(16)
|
||
crypto.getRandomValues(bytes)
|
||
return toBase64Url(bytes)
|
||
}
|
||
|
||
/** code_challenge = base64url(SHA-256(verifier)) วิธี S256 */
|
||
export async function createCodeChallenge(verifier: string): Promise<string> {
|
||
const digest = await crypto.subtle.digest('SHA-256', new TextEncoder().encode(verifier))
|
||
return toBase64Url(new Uint8Array(digest))
|
||
}
|
||
|
||
export interface AuthorizeUrlParams {
|
||
authorizeEndpoint: string
|
||
clientId: string
|
||
redirectUri: string
|
||
state: string
|
||
codeChallenge: string
|
||
scope?: string
|
||
}
|
||
|
||
/** ประกอบ authorization URL แบบ authorization code + PKCE S256 */
|
||
export function buildAuthorizeUrl(params: AuthorizeUrlParams): string {
|
||
const qs = new URLSearchParams({
|
||
client_id: params.clientId,
|
||
response_type: 'code',
|
||
scope: params.scope ?? 'openid',
|
||
redirect_uri: params.redirectUri,
|
||
state: params.state,
|
||
code_challenge: params.codeChallenge,
|
||
code_challenge_method: 'S256',
|
||
})
|
||
return `${params.authorizeEndpoint}?${qs.toString()}`
|
||
}
|
||
|
||
/** รูป response ของ token endpoint (เฉพาะ field ที่เราใช้) */
|
||
export interface TokenResponse {
|
||
access_token: string
|
||
refresh_token?: string
|
||
id_token?: string
|
||
expires_in?: number
|
||
}
|
||
|
||
/** decode payload ของ JWT เพื่ออ่าน claims (exp / preferred_username) — token ไม่ถูกต้องคืน null ไม่ throw */
|
||
export function parseJwtPayload(token: string): Record<string, unknown> | null {
|
||
const parts = token.split('.')
|
||
if (parts.length !== 3) return null
|
||
try {
|
||
const b64 = parts[1].replace(/-/g, '+').replace(/_/g, '/')
|
||
const bytes = Uint8Array.from(atob(b64), (c) => c.charCodeAt(0))
|
||
return JSON.parse(new TextDecoder().decode(bytes)) as Record<string, unknown>
|
||
} catch {
|
||
return null
|
||
}
|
||
}
|