Authentication (Auth)

sequenceDiagram
  participant U as User
  participant AS as Auth Server
  participant RS as Resource Server
  U->>AS ส่ง Username/Password
  AS-->>U ขอรหัส TOTP (ถ้ามี)
  U->>AS ส่ง TOTP
  AS-->>U ออก Access Token/Session
  U->>RS แนบ Token/คุกกี้
  RS-->>U อนุญาตการเข้าถึง

flowchart LR
  A[Public Client] -->|เปิดหน้าล็อกอิน| B[Authorization Server]
  B -->|ผู้ใช้ยืนยันตัวตน| A
  A -->|แลก code+verifier| B
  B -->|ตรวจ PKCE| A
  B -->|ออก ID/Access/Refresh Token| A
  A --> C[Resource Server]
  C -->|ตรวจโทเคน| A

sequenceDiagram
  participant U as User
  participant RP as Relying Party
  participant A as Authenticator
  U->>RP เริ่มลงทะเบียน/ล็อกอิน (WebAuthn)
  RP-->>U ส่ง challenge + params
  U->>A ขอสร้าง/ลงนามกุญแจ
  A-->>U ส่ง public key/ลายเซ็น
  U->>RP ส่งผลกลับ
  RP-->>U ตรวจสอบสำเร็จ

package main

import (
  "crypto/subtle"
  "encoding/base64"
  "log"
  "net/http"

  "github.com/gofiber/fiber/v2"
  "github.com/gofiber/fiber/v2/middleware/csrf"
  "github.com/gofiber/fiber/v2/middleware/session"
  "golang.org/x/crypto/argon2"
)

var store = session.New(session.Config{
  CookieHTTPOnly: true,
  CookieSecure:   true,  // เปิดบน HTTPS เท่านั้น
  CookieSameSite: "Lax",
})

// สาธิตการแฮชรหัสผ่านแบบ Argon2id
func hashPassword(password, salt, pepper []byte) string {
  // Argon2id พารามิเตอร์ควรปรับตามทรัพยากรระบบ
  hash := argon2.IDKey(append(password, pepper...), salt, 1, 64*1024, 4, 32)
  return base64.StdEncoding.EncodeToString(hash)
}

func main() {
  app := fiber.New()

  app.Use(csrf.New(csrf.Config{CookieHTTPOnly: true, CookieSameSite: "Lax"}))

  app.Post("/login", func(c *fiber.Ctx) error {
    type req struct{ Username, Password string }
    var r req
    if err := c.BodyParser(&r); err != nil { return fiber.ErrBadRequest }

    // ดึง user จาก DB (สาธิต)
    storedSalt := []byte("random-salt-from-db")
    storedPepper := []byte("system-pepper")
    storedHash := hashPassword([]byte("correct-password"), storedSalt, storedPepper)

    cand := hashPassword([]byte(r.Password), storedSalt, storedPepper)
    if subtle.ConstantTimeCompare([]byte(cand), []byte(storedHash)) != 1 {
      return fiber.ErrUnauthorized
    }

    sess, _ := store.Get(c)
    sess.Set("uid", "user-123")
    if err := sess.Save(); err != nil { return fiber.ErrInternalServerError }

    return c.Status(http.StatusOK).JSON(fiber.Map{"ok": true})
  })

  app.Get("/me", func(c *fiber.Ctx) error {
    sess, _ := store.Get(c)
    if sess.Get("uid") == nil { return fiber.ErrUnauthorized }
    return c.JSON(fiber.Map{"uid": sess.Get("uid")})
  })

  log.Fatal(app.Listen(":8080"))
}

package main

import (
  "time"
  "log"
  "net/http"

  "github.com/gofiber/fiber/v2"
  jwtware "github.com/gofiber/jwt/v3"
  "github.com/golang-jwt/jwt/v5"
)

var jwtSecret = []byte("super-secret")

func newAccessToken(uid string, ttl time.Duration) (string, error) {
  claims := jwt.MapClaims{
    "sub": uid,
    "iat": time.Now().Unix(),
    "exp": time.Now().Add(ttl).Unix(),
    "scope": "api:read",
  }
  token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
  return token.SignedString(jwtSecret)
}

func main() {
  app := fiber.New()

  // Login: ออก access + refresh (สาธิตเก็บ refresh ใน HttpOnly cookie)
  app.Post("/login", func(c *fiber.Ctx) error {
    // ตรวจสอบรหัสผ่านแล้วสมมุติว่า uid = user-123
    at, _ := newAccessToken("user-123", 10*time.Minute)
    // refresh token ควรเป็น opaque + เก็บแฮชใน DB (ย่อเพื่อสาธิต)
    rt := "random-refresh-token"

    c.Cookie(&fiber.Cookie{Name: "rt", Value: rt, HTTPOnly: true, Secure: true, SameSite: "Lax", Path: "/"})
    return c.JSON(fiber.Map{"access_token": at})
  })

  // Refresh: หมุนเวียน token (rotation)
  app.Post("/refresh", func(c *fiber.Ctx) error {
    rt := c.Cookies("rt")
    if rt == "" { return fiber.ErrUnauthorized }
    // ตรวจใน DB ว่า rt ยัง valid แล้วทำ rotation: ออก rt ใหม่ + เพิกถอน rt เก่า
    newAT, _ := newAccessToken("user-123", 10*time.Minute)
    newRT := "new-refresh-token"
    c.Cookie(&fiber.Cookie{Name: "rt", Value: newRT, HTTPOnly: true, Secure: true, SameSite: "Lax", Path: "/"})
    return c.JSON(fiber.Map{"access_token": newAT})
  })

  // Middleware ป้องกันเส้นทางที่ต้องการโทเคน
  app.Use("/api", jwtware.New(jwtware.Config{SigningKey: jwtSecret}))
  app.Get("/api/profile", func(c *fiber.Ctx) error {
    return c.JSON(fiber.Map{"ok": true})
  })

  log.Fatal(app.Listen(":8080"))
}

// เสี้ยวโค้ดแสดงโฟลว์ /login -> redirect ไป IdP, /oidc/callback -> แลก code เป็น token
app.Get("/login", func(c *fiber.Ctx) error {
  // 1) สร้าง state/nonce เก็บในเซสชัน แล้ว redirect ไป IdP authorize endpoint พร้อม code_challenge
  return c.Redirect("https://idp.example.com/authorize?...&code_challenge=...&state=...")
})

app.Get("/oidc/callback", func(c *fiber.Ctx) error {
  // 2) ตรวจสอบ state/nonce, แลก code + code_verifier เป็น ID/Access/Refresh Token
  // 3) ตรวจลายเซ็น/iss/aud/nonce ของ ID Token, ตั้งคุกกี้/โทเคนตามนโยบาย
  return c.Redirect("/dashboard")
})