Produits Entr'ouvert » Authentic 2

Lors d'un récent déploiement d'une application client OIDC d'un Authentic2, nous sommes tombés sur un problème CORS au niveau des endpoints OIDC, notamment sur .well-known/openid-configuration. Cette application est une application de type single page basée sur Angular utilisant la lib angular-oauth2-oidc. Cette lib, suite à une authentification en mode implicite/natif, fait une requête sur .well-known/openid-configuration et c'est à ce moment-là que l'erreur CORS se déclenche. En effet, l'entête Access-Control-Allow-Origin n'est pas définie dans la réponse d'Authentic2. Après quelques recherches sur le sujet, il s'agit d'un problème classique sur les IDP OIDC, mais je n'ai pas réussi à trouver une éventuelle recommandation officielle à ce sujet.

Pour le moment, j'ai résolu le problème en ajoutant cette entête via une configuration Apache, mais l'idéal serait qu'Authentic2 puisse définir lui-même cette entête sur les endpoints appropriés. Au besoin, cette issue Gitlab traite ce sujet et liste notamment les URL des endpoints (dans le cas de Gitlab) qui nécessite d'être ouvert aux accès CORS.