Produits Entr'ouvert » Authentic 2

Basé sur #62889.

Benjamin Dauvergne a écrit :

Que je comprenne bien, le besoin ici en fait c'est que le code qui surcharge la création des user_info/id_token dans authentic2-glc ne renvoie pas les données couronnes lorsqu'un profil est sélectionné ?

Oui c’est bien ça.

Ce ne sera pas plus simple de faire ça dans dans le hook correspondant que de déporter de la logique ici qui manipule les scopes ?

Peut-être oui, je regarde.

À terme l'idéal serait de pouvoir se passer complètement du hook en ayant une configuration des claims/scopes plus complexe, en attendant je me dis qu'on préférera garder du code simple ici plutôt que d'avoir du code dans authentic écrit spécifiquement pour un usage externe.

PS: sachant qu'effectivement le système de profil interagit très mal avec les scopes, voir l'ignore complètement en fait.

Okay.

Une implémentation a2 mainline du hook, car il ne me semble pas que cette approche soit spécifique GL.

Je ne comprends pas ce que fait ce code, si c'est le fonctionnement normal de l'idp oidc pas besoin d'un hook, autant mettre ça dans le code de génération des user_info/id_token. Et cette ligne particulièrement :

set(claim.get_scopes()) & extra_scopes and not set(claim.get_scopes()) & scope_set

# when profile is used, only keep generic claims linked to openid, email and profile scope (WHY???)
if profile:
   claim_removed = []
   for claim in OIDCClaim.objects.filter(client=client, name__in=user_info.keys()):
       if not (set(claim.get_scopes()) & {'openid', 'email', 'profile'} and claim.name in user_info:
           user_info.pop(claim.name)
           claim_removed.append(claim.name)
   if claim_removed:
       logger.info(....)