qciganoandClaude Sonnet 5
bf0d169015
Kundenkonten sind jetzt genauso echt wie die PayPal-Zahlung: server-geprüftes OAuth 2.0 mit PKCE für Google und "Log in with PayPal" (functions/_shared/oauth.js, oauth-handlers.js), neue D1-Tabelle "customers" (bewusst ohne Passwort-Feld), eigene von der Zugangscode-Schranke getrennte Sitzungs-Logik (customer-auth.js). Echte DSGVO-Rechte direkt im Kontobereich: Daten herunterladen (Art. 15/20) und Konto unwiderruflich löschen (Art. 17), Bestellungen bleiben aus gesetzlichen Gründen erhalten. Datenschutzerklärung entsprechend ergänzt. Ohne echte Google-/PayPal-Zugangsdaten zeigt der Login-Button ehrlich einen "noch nicht eingerichtet"-Hinweis statt eine Anmeldung vorzutäuschen. Co-Authored-By: Claude Sonnet 5 <[email protected]>
80 lines
3.8 KiB
JavaScript
80 lines
3.8 KiB
JavaScript
/* =====================================================================
|
|
functions/_shared/customer-auth.js — Sitzungs-Logik für echte Kundenkonten (Google-/PayPal-
|
|
Login), bewusst GETRENNT von functions/_shared/auth.js (das ist die Zugangscode-Schranke für
|
|
qciga/VanVan) — unterschiedliche Geheimnisse, unterschiedliche Cookies, unterschiedliche
|
|
Nutzer:innengruppe. Ein Leck bei der einen Sitzungsart darf nie die andere gefährden.
|
|
|
|
Gleiches HMAC-Signaturprinzip wie bei der Zugangscode-Schranke (siehe dort für die
|
|
Begründung), hier bewusst als eigene, kleine Kopie statt geteiltem Code — weniger Kopplung
|
|
zwischen zwei sicherheitskritischen, aber konzeptionell getrennten Systemen. ===================================================================== */
|
|
|
|
export const CUSTOMER_COOKIE_NAME = "vandiy_customer_session";
|
|
export const CUSTOMER_SESSION_TAGE = 30;
|
|
|
|
function b64urlEncode(bytes) {
|
|
let bin = "";
|
|
bytes.forEach((b) => (bin += String.fromCharCode(b)));
|
|
return btoa(bin).replace(/\+/g, "-").replace(/\//g, "_").replace(/=+$/, "");
|
|
}
|
|
function b64urlDecodeToBytes(str) {
|
|
str = str.replace(/-/g, "+").replace(/_/g, "/");
|
|
while (str.length % 4) str += "=";
|
|
const bin = atob(str);
|
|
return Uint8Array.from(bin, (c) => c.charCodeAt(0));
|
|
}
|
|
async function hmacKey(secret) {
|
|
return crypto.subtle.importKey("raw", new TextEncoder().encode(secret), { name: "HMAC", hash: "SHA-256" }, false, ["sign", "verify"]);
|
|
}
|
|
|
|
/** Signiert eine Kunden-Sitzung für die Datenbank-ID des customers-Eintrags. */
|
|
export async function signCustomerSession(customerId, secret) {
|
|
const payload = JSON.stringify({ cid: customerId, exp: Date.now() + CUSTOMER_SESSION_TAGE * 24 * 60 * 60 * 1000 });
|
|
const payloadB64 = b64urlEncode(new TextEncoder().encode(payload));
|
|
const key = await hmacKey(secret);
|
|
const sig = await crypto.subtle.sign("HMAC", key, new TextEncoder().encode(payloadB64));
|
|
return `${payloadB64}.${b64urlEncode(new Uint8Array(sig))}`;
|
|
}
|
|
|
|
export async function verifyCustomerSession(token, secret) {
|
|
if (!token || !token.includes(".")) return null;
|
|
const [payloadB64, sigB64] = token.split(".");
|
|
try {
|
|
const key = await hmacKey(secret);
|
|
const valid = await crypto.subtle.verify("HMAC", key, b64urlDecodeToBytes(sigB64), new TextEncoder().encode(payloadB64));
|
|
if (!valid) return null;
|
|
const payload = JSON.parse(new TextDecoder().decode(b64urlDecodeToBytes(payloadB64)));
|
|
if (!payload.exp || payload.exp < Date.now()) return null;
|
|
return payload; // { cid, exp }
|
|
} catch {
|
|
return null;
|
|
}
|
|
}
|
|
|
|
export function getCookie(request, name) {
|
|
const header = request.headers.get("Cookie") || "";
|
|
const match = header.match(new RegExp(`(?:^|;\\s*)${name}=([^;]+)`));
|
|
return match ? decodeURIComponent(match[1]) : null;
|
|
}
|
|
|
|
/** Liefert den eingeloggten customers-Datensatz (aus D1) für die aktuelle Anfrage, oder null.
|
|
* Zentrale Stelle, die jede Kunden-API-Route nutzt — Kunden-ID kommt NIE direkt vom Client,
|
|
* immer nur aus der signierten, serverseitig geprüften Sitzung. */
|
|
export async function getCustomer(request, env) {
|
|
if (!env.CUSTOMER_SESSION_SECRET || !env.DB) return null;
|
|
const token = getCookie(request, CUSTOMER_COOKIE_NAME);
|
|
const payload = token ? await verifyCustomerSession(token, env.CUSTOMER_SESSION_SECRET) : null;
|
|
if (!payload?.cid) return null;
|
|
const row = await env.DB.prepare(
|
|
`SELECT id, email, name, provider, created_at FROM customers WHERE id = ?`
|
|
).bind(payload.cid).first();
|
|
return row || null;
|
|
}
|
|
|
|
export function customerCookieHeader(token, maxAgeSekunden) {
|
|
return `${CUSTOMER_COOKIE_NAME}=${encodeURIComponent(token)}; Path=/; Max-Age=${maxAgeSekunden}; HttpOnly; Secure; SameSite=Lax`;
|
|
}
|
|
|
|
export function clearCustomerCookieHeader() {
|
|
return `${CUSTOMER_COOKIE_NAME}=; Path=/; Max-Age=0; HttpOnly; Secure; SameSite=Lax`;
|
|
}
|