0e7097ed1b
First-attempt commit3a5c6e184only captured the .gitignore change; the pre-commit hook silently dropped the 343 staged moves/deletes during lint-staged's "no matching task" path. This commit re-applies the intended J1 content on top ofbec75f143(which was pushed in parallel). Uses --no-verify because: - J1 only touches .md/.json/.log/.png/binaries — zero code that would benefit from lint-staged, typecheck, or vitest - The hook demonstrated it corrupts pure-rename commits in this repo - Explicitly authorized by user for this one commit Changes (343 total: 169 deletions + 174 renames): Binaries purged (~167 MB): - veza-backend-api/{server,modern-server,encrypt_oauth_tokens,seed,seed-v2} Generated reports purged: - 9 apps/web/lint_report*.json (~32 MB) - 8 apps/web/tsc_*.{log,txt} + ts_*.log (TS error snapshots) - 3 apps/web/storybook_*.json (1375+ stored errors) - apps/web/{build_errors*,build_output,final_errors}.txt - 70 veza-backend-api/coverage*.out + coverage_groups/ (~4 MB) - 3 veza-backend-api/internal/handlers/*.bak Root cleanup: - 54 audit-*.png (visual regression baselines, ~11 MB) - 9 stale MVP-era scripts (Jan 27, hardcoded v0.101): start_{iteration,mvp,recovery}.sh, test_{mvp_endpoints,protected_endpoints,user_journey}.sh, validate_v0101.sh, verify_logs_setup.sh, gen_hash.py Session docs archived (not deleted — preserved under docs/archive/): - 78 apps/web/*.md → docs/archive/frontend-sessions-2026/ - 43 veza-backend-api/*.md → docs/archive/backend-sessions-2026/ - 53 docs/{RETROSPECTIVE_V,SMOKE_TEST_V,PLAN_V0_,V0_*_RELEASE_SCOPE, AUDIT_,PLAN_ACTION_AUDIT,REMEDIATION_PROGRESS}*.md → docs/archive/v0-history/ README.md and CONTRIBUTING.md preserved in apps/web/ and veza-backend-api/. Note: The .gitignore rules preventing recurrence were already pushed in3a5c6e184and remain in place — this commit does not modify .gitignore. Refs: AUDIT_REPORT.md §11
102 lines
3.9 KiB
Markdown
102 lines
3.9 KiB
Markdown
# Résumé Final - Migration httpOnly Cookies
|
|
|
|
## ✅ Implémentation Complétée
|
|
|
|
### Frontend (Phase 1) ✅
|
|
- ✅ `withCredentials: true` activé dans `apiClient` et `refreshClient`
|
|
- ✅ `tokenStorage.ts` adapté (mémoire + fallback localStorage)
|
|
- ✅ `tokenRefresh.ts` détecte automatiquement les cookies httpOnly
|
|
- ✅ Mode hybride fonctionnel (localStorage ET cookies httpOnly)
|
|
- ✅ Tests mis à jour et passants
|
|
|
|
### Backend (Phase 2) ✅
|
|
- ✅ **Handler Login**: Set cookie httpOnly, retire RefreshToken du body
|
|
- ✅ **Handler Refresh**: Lit cookie httpOnly (fallback body JSON), set nouveau cookie
|
|
- ✅ **Handler Register**: Set cookie httpOnly, retire RefreshToken du body
|
|
- ✅ **Handler Logout**: Supprime cookie refresh_token
|
|
- ✅ SameSite=Strict configuré pour protection CSRF
|
|
- ✅ Secure=true (HTTPS only en production)
|
|
|
|
## 🔄 Mode Hybride
|
|
|
|
Le système fonctionne en mode hybride pour assurer la compatibilité :
|
|
- **Refresh Token**: Peut venir du cookie httpOnly (nouveau) ou du body JSON (legacy)
|
|
- **Frontend**: Détecte automatiquement les cookies httpOnly
|
|
- **Backend**: Accepte les deux formats pendant la transition
|
|
|
|
## 📋 Fichiers Modifiés
|
|
|
|
### Frontend
|
|
- `apps/web/src/services/api/client.ts` - withCredentials activé
|
|
- `apps/web/src/services/tokenRefresh.ts` - Détection cookies httpOnly
|
|
- `apps/web/src/services/tokenStorage.ts` - Stockage mémoire + fallback
|
|
- `apps/web/src/services/cookieService.ts` - Service cookies créé
|
|
|
|
### Backend
|
|
- `veza-backend-api/internal/handlers/auth.go` - Handlers Login/Refresh/Register/Logout modifiés
|
|
|
|
## 🧪 Tests à Créer
|
|
|
|
### Tests Unitaires Backend
|
|
- [ ] Test Login avec cookie httpOnly
|
|
- [ ] Test Refresh avec cookie httpOnly
|
|
- [ ] Test Register avec cookie httpOnly
|
|
- [ ] Test Logout supprime cookie
|
|
- [ ] Test Refresh avec fallback body JSON (legacy)
|
|
|
|
### Tests d'Intégration
|
|
- [ ] Test persistance de session avec cookies
|
|
- [ ] Test refresh automatique avec cookies
|
|
- [ ] Test logout supprime cookie
|
|
- [ ] Test compatibilité avec frontend
|
|
|
|
### Tests E2E
|
|
- [ ] Test login → refresh → logout flow complet
|
|
- [ ] Test persistance de session après refresh navigateur
|
|
- [ ] Test logout supprime cookie et invalide session
|
|
|
|
## 🔧 Configuration
|
|
|
|
### Cookies Configurés
|
|
- **Name**: `refresh_token`
|
|
- **Path**: `/`
|
|
- **HttpOnly**: `true` (pas accessible via JavaScript)
|
|
- **Secure**: `true` (HTTPS only en production)
|
|
- **SameSite**: `Strict` (protection CSRF maximale)
|
|
- **MaxAge**: 30 jours (90 jours si remember_me)
|
|
|
|
### Variables d'Environnement (Optionnel)
|
|
Pour permettre la configuration via variables d'environnement en développement :
|
|
```env
|
|
COOKIE_SECURE=false # false en dev local (HTTP)
|
|
COOKIE_SAME_SITE=lax # lax si cross-domain nécessaire
|
|
COOKIE_DOMAIN= # vide pour domaine actuel
|
|
```
|
|
|
|
## 📊 Sécurité Améliorée
|
|
|
|
### Avant (localStorage)
|
|
- ❌ Accessible via JavaScript (vulnérable XSS)
|
|
- ❌ Stocké dans localStorage (accessible par scripts malveillants)
|
|
- ❌ Pas de protection CSRF intégrée
|
|
|
|
### Après (httpOnly Cookies)
|
|
- ✅ Non accessible via JavaScript (protection XSS)
|
|
- ✅ Stocké dans cookie httpOnly (géré par navigateur)
|
|
- ✅ SameSite=Strict (protection CSRF)
|
|
- ✅ Secure flag (HTTPS only en production)
|
|
|
|
## 🎯 Prochaines Étapes
|
|
|
|
1. **Tests**: Créer les tests unitaires et d'intégration
|
|
2. **Configuration**: Ajouter variables d'environnement si nécessaire
|
|
3. **Documentation**: Mettre à jour la documentation API
|
|
4. **Déploiement**: Tester en staging avant production
|
|
5. **Monitoring**: Surveiller les performances et erreurs après déploiement
|
|
|
|
## 📝 Notes Importantes
|
|
|
|
1. **Secure Flag**: Actuellement `true` (HTTPS only). En développement local avec HTTP, peut nécessiter `false`.
|
|
2. **SameSite**: Configuré à `Strict` pour sécurité maximale. Peut nécessiter `Lax` si cross-domain nécessaire.
|
|
3. **Compatibilité**: Le système fonctionne en mode hybride pour assurer la transition en douceur.
|
|
|