#102: DataTransferPublicSession.kt

Estructura del Código

Anotaciones: param, Suppress, Service, JsonIgnore, Autowired

Clases: DataTransferPublicSession, TransferAreaData, CheckAccessResult

Funciones (9): checkLogin, login, checkDataBaseEntry, register, unregister, logout, isOwnerOfFile, registerFileAsOwner, getSessionMap

Propiedades (28): id, accessToken, password, userInfo, ownedFiles, dataTransferArea, failedAccessMessage, dataTransferAreaDao, data, area, errorMessage, loginProtection, clientIpAddress, offset, seconds, numberOfFailedAttempts, loginResultStatus, dbo, errorMessage, map, map, id, data, map, data...

Importaciones: 12 paquetes

Paquete: org.projectforge.plugins.datatransfer.restPublic

Código Fuente (resumido)

package org.projectforge.plugins.datatransfer.restPublic

import com.fasterxml.jackson.annotation.JsonIgnore
import mu.KotlinLogging
import org.projectforge.business.login.LoginProtection
import org.projectforge.business.login.LoginResultStatus
import org.projectforge.framework.ToStringUtil
import org.projectforge.framework.i18n.translate
import org.projectforge.plugins.datatransfer.DataTransferAreaDO
import org.projectforge.plugins.datatransfer.DataTransferAreaDao
import org.projectforge.rest.config.RestUtils
import org.springframework.beans.factory.annotation.Autowired
import org.springframework.stereotype.Service
import jakarta.servlet.http.HttpServletRequest

private val log = KotlinLogging.logger {}

/**
 * Un manejo mínimo de sesión para evitar molestos reinicios de sesión para usuarios externos de la herramienta de transferencia de datos.
 */
@Service
class DataTransferPublicSession {
  internal class TransferAreaData(
    var id: Long,
    var accessToken: String,
    @JsonIgnore var password: String?,
    var userInfo: String?,
    var ownedFiles: MutableList<String> = mutableListOf()
  )

  internal class CheckAccessResult(
    val dataTransferArea: DataTransferAreaDO? = null,
    val failedAccessMessage: String? = null
  )


  @Autowired
  private lateinit var dataTransferAreaDao: DataTransferAreaDao

  /**
   * Verifica si el usuario tiene una entrada válida (accessToken/contraseña) en su sesión.
   * @param areaId Busca área por id en la sesión del usuario.
   * @param accessToken Busca área por accessToken en la sesión del usuario.
   */
  internal fun checkLogin(
    request: HttpServletRequest,
    areaId: Long? = null,
    accessToken: String? = null
  ): Pair<DataTransferAreaDO, TransferAreaData>? {
    check(areaId != null || !accessToken.isNullOrBlank())
    val data = if (areaId != null) {
      getSessionMap(request)?.get(areaId)
    } else {
      getSessionMap(request)?.entries?.find { it.value.accessToken == accessToken }?.value
    } ?: return null
    val area = dataTransferAreaDao.getAnonymousArea(data.accessToken) ?: return null
    val errorMessage = checkDataBaseEntry(request, area, data.id, data.accessToken, data.password, data.userInfo)
    if (errorMessage != null) {
      unregister(request, data.id) // Desregistrar, forzar reinicio de sesión.
      return null
    }
    log.info {
      "Información de usuario externo restaurada desde la sesión: ${ToStringUtil.toJsonString(data)}, ip=${
        RestUtils.getClientIp(
          request
        )
      }"
    }
    return Pair(area, data)
  }

  /**
   * Intenta iniciar sesión del usuario. Usa LoginProtection. No verifica si el usuario ya ha iniciado sesión.
   * El id de sesión será cambiado (fijación de sesión), pero cualquier área previamente conectada se colocará en la nueva sesión.
   */
  internal fun login(
    request: HttpServletRequest,
    accessToken: String?,
    password: String?,
    userInfo: String?
  ): CheckAccessResult {
    if (accessToken == null || password == null) {
      return CheckAccessResult(failedAccessMessage = LoginResultStatus.FAILED.localizedMessage)
    }
    val loginProtection = LoginProtection.instance()
    val clientIpAddress = RestUtils.getClientIp(request)
    val offset = loginProtection.getFailedLoginTimeOffsetIfExists(accessToken, clientIpAddress)
    if (offset > 0) {
      // El desplazamiento de tiempo aún existe. Ignorar intento de inicio de sesión.
      val seconds = (offset / 1000).toString()
      log.warn("La cuenta para '${accessToken}', ip=$clientIpAddress, userInfo='$userInfo' está bloqueada por $seconds segundos debido a intentos fallidos de inicio de sesión. Intente de nuevo más tarde.")
      val numberOfFailedAttempts = loginProtection.getNumberOfFailedLoginAttempts(accessToken, clientIpAddress)
      val loginResultStatus = LoginResultStatus.LOGIN_TIME_OFFSET
      loginResultStatus.setMsgParams(
        seconds,
        numberOfFailedAttempts.toString()
      )
      return CheckAccessResult(failedAccessMessage = loginResultStatus.localizedMessage)
    }

    val dbo = dataTransferAreaDao.getAnonymousArea(accessToken)
    if (dbo == null) {
      log.warn { "Área de transferencia de datos con externalAccessToken '$accessToken' no encontrada. Solicitado por ip=$clientIpAddress, userInfo='$userInfo'." }
      loginProtection.incrementFailedLoginTimeOffset(accessToken, clientIpAddress)
      return CheckAccessResult(failedAccessMessage = LoginResultStatus.FAILED.localizedMessage)
    }
    val errorMessage = checkDataBaseEntry(request, dbo, dbo.id!!, accessToken, password, userInfo)
    if (errorMessage != null) {
      loginProtection.incrementFailedLoginTimeOffset(accessToken, clientIpAddress)
      return CheckAccessResult(failedAccessMessage = errorMessage)
    }
    // Inicio de sesión exitoso:
    loginProtection.clearLoginTimeOffset(accessToken, null, clientIpAddress)
    log.info { "Área de transferencia de datos con externalAccessToken '$accessToken': inicio de sesión exitoso por ip=$clientIpAddress, userInfo='$userInfo'." }

    // Fijación de Sesión: Cambiar JSESSIONID después del inicio de sesión (por razones de seguridad / ataque XSS en la página de inicio de sesión)
    request.getSession(false)?.let { session ->
      if (!session.isNew) {
        val map = getSessionMap(request)
// ... (truncado, total 259 líneas)

Historial Git

868d6abb7 2025 -> 2026
63081666f Encabezados de archivos fuente: 2024-> 2025.
4c04cfd65 CAMBIO IMPORTANTE: Migración de ids enteros a ids Long (incluyendo claves foráneas, etc.)
77bade6df javax.* -> jakarta.*
b6092df09 Derechos de autor 2023 -> 2024