Produits Entr'ouvert » Authentic 2

Les nonces sont utilisés dans a2 pour s'assurer qu'une réponse à une requête de SSO a bien donné lieu à une authentification, seul moyen de forcer une réauthentification.

En SAML on reprend l'ID unique du message de SSO qu'on passe à la vue /login/ dans le paramètre nonce, si on choisit l'authentification OIDC, ce nonce est passé ensuite à /accounts/oidc/login/, qui s'en sert pour le nonce du protocole OIDC.

Le nonce dans le protocole OIDC est une valeur unique passé dans la requête d'authentification OIDC et retournée uniquement dans l'id token, elle permet comme dans A2 de faire le lien entre une réponse et une requête.

Dans src/authentic2_auth_oidc/views.py, ces deux lignes :

            ...
            oidc_request = oidc_state.get('request')
            nonce = oidc_request.get('nonce')
            ...

je les mettrais pas dans le try/except lié à get_provider_by_issuer, plutôt après.

Et sur la première ligne, plutôt faire un « oidc_request = oidc_state.get('request') or {} », au cas où.

Voilà, c'est tout ce que j'ai a dire, en vérité l'objet du patch m'échappe un peu.