chiark / gitweb /
wip new case table
authorIan Jackson <ijackson@chiark.greenend.org.uk>
Sat, 10 Nov 2012 14:16:13 +0000 (14:16 +0000)
committerIan Jackson <ijackson@chiark.greenend.org.uk>
Sat, 10 Nov 2012 14:16:13 +0000 (14:16 +0000)
cgi-auth-hybrid.pm

index 77454c2..b7bf76b 100644 (file)
@@ -169,77 +169,92 @@ sub _check_core ($) {
 #   i login
 #   o logout
 
+
+# in cook and par,
+#    a, aN     anything including -
+#    t, tN     temporary value (in our db, no logged in user yet)
+#    y, yN     value corresponds to logged-in user
+#    n, nN     value not in our db
+#    x, xN     t or y
+#    -         no value supplied
+# if N differs the case applies only when the two values differ
+# (eg,   a1 y2   does not apply when the logged-in value is supplied twice)
+
+# "stale session" means request originates from a page from a login
+# session which has been revoked (eg by logout); "cleared session"
+# means request originates from a browser which has a different (or
+# no) cookie.
+
     # Case analysis, cookie mode, app promises re mutate:
     # cook par meth  form
     #                      
-    #  y   y   GET   nr       fine, show page or send data
-    #
-    #  y   -   GET   n        cross-site link
-    #                           show data
-    #  y1  y2  GET   n        intra-site link
-    #                           from session no longer known to browser
-    #                           do not revoke y2 as not a POST so not RESTful
-    #                           treat as cross-site link, show data
-    #  y   n   GET   n        intra-site link from stale session,
-    #                           treat as cross-site link, show data
+    #  any -   POST  nrmuoi   bug or attack, fail
+    #  any -   GET    rmuoi   bug or attack, fail
+    #  any any GET     muoi   bug or attack, fail
+    #  any t   any   nrmuo    bug or attack, fail
     #
-    #  y   -   GET    r       bug or attack, fail
-    #  y1  y2  GET    r       intra-site data request
-    #                           from session no longer known to browser
-    #                           do not revoke y2 as not a POST so not RESTful
-    #                           fail
-    #  y   n   GET    r       intra-site data request from stale session
-    #                           fail
+    #  a1  a2  POST      o    logout
+    #                           if a1 is valid, revoke it
+    #                           if a2 is valid, revoke it
+    #                           delete cookie
+    #                           redirect to "just logged out" page
+    #                             (which contains link to login form)
     #
-    #  -/n y2  GET   n        cross-site link
-    #                         but user has cleared cookies, revoke session
-    #                           show login form
+    #  -   t   POST       i   complain about cookies being disabled
     #
-    #  -/n y2  GET    rmuio   user has cleared cookies, revoke session
-    #                           then as for   - - GET
+    #  -   n   POST       i   complain about stale login form
+    #                           show new login form
     #
-    #  n   any GET   n        cross-site link but user not logged in
-    #                           show login form
+    #  x1  x2  POST       i   login (or switch user)
+    #                           revoke x1 if it was valid and !=x2
+    #                           upgrade x2 to y2 in our db (setting username)
+    #                           set cookie to x2
+    #                           redirect to GET of remaining params
     #
-    #  n   any GET    r       data request from stale session
-    #                           fail
+    #  t1  a2  ANY   nrmu     treat as  - a2 ANY
     #
-    #  any any GET     muoi   bug or attack, fail
+    #  y   -   GET   n        cross-site link
+    #                           show data
     #
+    #  y   y   GET   nr       fine, show page or send data
     #  y   y   POST  nrmu     mutation is OK, do operation
-    #  y   y   POST      o    logout
-    #  y   y   POST       i   login, redirect to GET of remaining params
     #
-    #  any -   POST           bug or xsrf attack, fail
+    #  y1  y2  GET   nr       request from stale page
+    #                           do not revoke y2 as not RESTful
+    #                           treat as   y1 n GET
     #
-    #  n/y1 y2 POST   r       intra-site form submission
-    #                           from session no longer known to browser
+    #  y1  y2  POST  nrmu     request from stale page
     #                           revoke y2
-    #                           show "session interrupted" login form
-    #  n/y1 y2 POST    m      intra-site js operation
-    #                           from session no longer known to browser
-    #                           revoke y2
-    #                           fail
-    #  y   n   POST  r        intra-site form submission from stale session
+    #                           treat as   y1 n POST
+    #
+    #  y   n   GET   n        intra-site link from stale page,
+    #                           treat as cross-site link, show data
+    #
+    #  y   n   POST  n m      intra-site form submission from stale page
     #                           show "session interrupted"
-    #  y   n   POST    m      intra-site form submission from stale session
+    #                           with link to main data page
+    #
+    #  y   n   GET    r       intra-site request from stale page
     #                           fail
     #
-    #  -   y2  GET            intra-site link or data request
-    #                           from session no longer known to browser
+    #  y   n   POST   r u     intra-site request from stale page
     #                           fail
-
-    #  -   y2        any      req from old session y2, del y2, show login
-    #  y1  y2        any      req from old session y2, del y2, show y1 main
-
-    #  y1 any  GET   non-mut  cross-site link
-    #  y1 any  GET   non-mut  no mutation, show page providing new par
     #
-    #  A   B         any      page from old session or cross-site request
-    #  any y2 POST  logout    do logout y2
-
-
-    #  any any GET   mutate   bug or attack, forbidden, call die
+    #  -/n y2  GET   nr       intra-site link from cleared session
+    #                           do not revoke y2 as not RESTful
+    #                           treat as   -/n n GET
+    #
+    #  -/n y2  POST  nrmu     request from cleared session
+    #                           revoke y2
+    #                           treat as   -/n n POST
+    #  -/n n   GET   n        cross-site link but user not logged in
+    #                           show login form with redirect to orig params
+    #
+    #  -/n n   GET    rmu     user not logged in
+    #                           fail
+    #
+    #  -/n n   POST  nrmu     user not logged in
+    #                           fail
 
     my $dbh = $r->{Dbh};
     my ($nusername, $nlast) =