]> git.mxchange.org Git - quix0rs-gnu-social.git/blobdiff - plugins/OpenID/OpenIDPlugin.php
XSS vulnerability when remote-subscribing
[quix0rs-gnu-social.git] / plugins / OpenID / OpenIDPlugin.php
index 2635cb7c9d09211d7b7c2bc26bf60526f586fde1..2e9ada98064e3b36ae0d7457d98bfd3322c59488 100644 (file)
@@ -20,7 +20,7 @@
  * @category  Plugin
  * @package   StatusNet
  * @author    Evan Prodromou <evan@status.net>
- * @author   Craig Andrews <candrews@integralblue.com>
+ * @author    Craig Andrews <candrews@integralblue.com>
  * @copyright 2009-2010 StatusNet, Inc.
  * @copyright 2009 Free Software Foundation, Inc http://www.fsf.org
  * @license   http://www.fsf.org/licensing/licenses/agpl-3.0.html GNU Affero General Public License version 3.0
@@ -37,6 +37,8 @@ if (!defined('STATUSNET')) {
  * This class enables consumer support for OpenID, the distributed authentication
  * and identity system.
  *
+ * Depends on: WebFinger plugin for HostMeta-lookup (user@host format)
+ *
  * @category Plugin
  * @package  StatusNet
  * @author   Evan Prodromou <evan@status.net>
@@ -66,11 +68,11 @@ class OpenIDPlugin extends Plugin
      *
      * Hook for RouterInitialized event.
      *
-     * @param Net_URL_Mapper $m URL mapper
+     * @param URLMapper $m URL mapper
      *
      * @return boolean hook return
      */
-    function onStartInitializeRouter($m)
+    public function onStartInitializeRouter(URLMapper $m)
     {
         $m->connect('main/openid', array('action' => 'openidlogin'));
         $m->connect('main/openidtrust', array('action' => 'openidtrust'));
@@ -80,7 +82,7 @@ class OpenIDPlugin extends Plugin
         $m->connect('index.php?action=finishaddopenid',
                     array('action' => 'finishaddopenid'));
         $m->connect('main/openidserver', array('action' => 'openidserver'));
-        $m->connect('admin/openid', array('action' => 'openidadminpanel'));
+        $m->connect('panel/openid', array('action' => 'openidadminpanel'));
 
         return true;
     }
@@ -130,12 +132,11 @@ class OpenIDPlugin extends Plugin
                 $action = trim($args['action']);
                 if (in_array($action, array('login', 'register'))) {
                     common_redirect(common_local_url('openidlogin'));
-                    exit(0);
                 } else if ($action == 'passwordsettings') {
                     common_redirect(common_local_url('openidsettings'));
-                    exit(0);
                 } else if ($action == 'recoverpassword') {
-                    throw new ClientException('Unavailable action');
+                    // TRANS: Client exception thrown when an action is not available.
+                    throw new ClientException(_m('Unavailable action.'));
                 }
             }
         }
@@ -153,7 +154,7 @@ class OpenIDPlugin extends Plugin
      *
      * @return boolean hook return
      */
-    function onEndPublicXRDS($action, &$xrdsOutputter)
+    function onEndPublicXRDS(Action $action, &$xrdsOutputter)
     {
         $xrdsOutputter->elementStart('XRD', array('xmlns' => 'xri://$xrd*($v*2.0)',
                                                   'xmlns:simple' => 'http://xrds-simple.net/core/1.0',
@@ -173,37 +174,6 @@ class OpenIDPlugin extends Plugin
         $xrdsOutputter->elementEnd('XRD');
     }
 
-    /**
-     * User XRDS output hook
-     *
-     * Puts the bits of code needed to discover OpenID endpoints.
-     *
-     * @param Action       $action         Action being executed
-     * @param XMLOutputter &$xrdsOutputter Output channel
-     *
-     * @return boolean hook return
-     */
-    function onEndUserXRDS($action, &$xrdsOutputter)
-    {
-        $xrdsOutputter->elementStart('XRD', array('xmlns' => 'xri://$xrd*($v*2.0)',
-                                                  'xml:id' => 'openid',
-                                                  'xmlns:simple' => 'http://xrds-simple.net/core/1.0',
-                                                  'version' => '2.0'));
-        $xrdsOutputter->element('Type', null, 'xri://$xrds*simple');
-
-        //consumer
-        $xrdsOutputter->showXrdsService('http://specs.openid.net/auth/2.0/return_to',
-                                        common_local_url('finishopenidlogin'));
-
-        //provider
-        $xrdsOutputter->showXrdsService('http://specs.openid.net/auth/2.0/signon',
-                                        common_local_url('openidserver'),
-                                        null,
-                                        null,
-                                        common_profile_url($action->user->nickname));
-        $xrdsOutputter->elementEnd('XRD');
-    }
-
     /**
      * If we're in OpenID-only mode, hide all the main menu except OpenID login.
      *
@@ -215,7 +185,7 @@ class OpenIDPlugin extends Plugin
     {
         if (common_config('site', 'openidonly') && !common_logged_in()) {
             // TRANS: Tooltip for main menu option "Login"
-            $tooltip = _m('TOOLTIP', 'Login to the site');
+            $tooltip = _m('TOOLTIP', 'Login to the site.');
             $action->menuItem(common_local_url('openidlogin'),
                               // TRANS: Main menu option when not logged in to log in
                               _m('MENU', 'Login'),
@@ -232,7 +202,7 @@ class OpenIDPlugin extends Plugin
                               'nav_help');
             if (!common_config('site', 'private')) {
                 // TRANS: Tooltip for main menu option "Search"
-                $tooltip = _m('TOOLTIP', 'Search for people or text');
+                $tooltip = _m('TOOLTIP', 'Search for people or text.');
                 $action->menuItem(common_local_url('peoplesearch'),
                                   // TRANS: Main menu option when logged in or when the StatusNet instance is not private
                                   _m('MENU', 'Search'), $tooltip, false, 'nav_search');
@@ -294,7 +264,7 @@ class OpenIDPlugin extends Plugin
                           // TRANS: OpenID plugin menu item on site logon page.
                           _m('MENU', 'OpenID'),
                           // TRANS: OpenID plugin tooltip for logon menu item.
-                          _m('Login or register with OpenID'),
+                          _m('Login or register with OpenID.'),
                           $action_name === 'openidlogin');
     }
 
@@ -330,7 +300,7 @@ class OpenIDPlugin extends Plugin
                           // TRANS: OpenID plugin menu item on user settings page.
                           _m('MENU', 'OpenID'),
                           // TRANS: OpenID plugin tooltip for user settings menu item.
-                          _m('Add or remove OpenIDs'),
+                          _m('Add or remove OpenIDs.'),
                           $action_name === 'openidsettings');
 
         return true;
@@ -349,31 +319,14 @@ class OpenIDPlugin extends Plugin
     {
         switch ($cls)
         {
-        case 'OpenidloginAction':
-        case 'FinishopenidloginAction':
-        case 'FinishaddopenidAction':
-        case 'XrdsAction':
-        case 'PublicxrdsAction':
-        case 'OpenidsettingsAction':
-        case 'OpenidserverAction':
-        case 'OpenidtrustAction':
-        case 'OpenidadminpanelAction':
-            require_once dirname(__FILE__) . '/' . strtolower(mb_substr($cls, 0, -6)) . '.php';
-            return false;
-        case 'User_openid':
-            require_once dirname(__FILE__) . '/User_openid.php';
-            return false;
-        case 'User_openid_trustroot':
-            require_once dirname(__FILE__) . '/User_openid_trustroot.php';
-            return false;
         case 'Auth_OpenID_TeamsExtension':
         case 'Auth_OpenID_TeamsRequest':
         case 'Auth_OpenID_TeamsResponse':
             require_once dirname(__FILE__) . '/extlib/teams-extension.php';
             return false;
-        default:
-            return true;
         }
+
+        return parent::onAutoload($cls);
     }
 
     /**
@@ -424,24 +377,29 @@ class OpenIDPlugin extends Plugin
     }
 
     /**
-     * We include a <meta> element linking to the userxrds page, for OpenID
-     * client-side authentication.
+     * We include a <meta> element linking to the webfinger resource page,
+     * for OpenID client-side authentication.
      *
      * @param Action $action Action being shown
      *
      * @return void
      */
-    function onEndShowHeadElements($action)
+    function onEndShowHeadElements(Action $action)
     {
         if ($action instanceof ShowstreamAction) {
             $action->element('link', array('rel' => 'openid2.provider',
                                            'href' => common_local_url('openidserver')));
             $action->element('link', array('rel' => 'openid2.local_id',
-                                           'href' => $action->profile->profileurl));
+                                           'href' => $action->getTarget()->getUrl()));
             $action->element('link', array('rel' => 'openid.server',
                                            'href' => common_local_url('openidserver')));
             $action->element('link', array('rel' => 'openid.delegate',
-                                           'href' => $action->profile->profileurl));
+                                           'href' => $action->getTarget()->getUrl()));
+        }
+
+        if ($action instanceof SitestreamAction) {
+            $action->element('meta', array('http-equiv' => 'X-XRDS-Location',
+                                         'content' => common_local_url('publicxrds')));
         }
         return true;
     }
@@ -458,7 +416,6 @@ class OpenIDPlugin extends Plugin
     {
         if (common_config('site', 'openid_only') || (!empty($user) && User_openid::hasOpenID($user->id))) {
             common_redirect(common_local_url('openidlogin'), 303);
-            return false;
         }
         return true;
     }
@@ -478,18 +435,24 @@ class OpenIDPlugin extends Plugin
         {
         case 'register':
             if (common_logged_in()) {
-                $instr = '(Have an [OpenID](http://openid.net/)? ' .
-                  '[Add an OpenID to your account](%%action.openidsettings%%)!';
+                // TRANS: Page notice for logged in users to try and get them to add an OpenID account to their StatusNet account.
+                // TRANS: This message contains Markdown links in the form (description)[link].
+                $instr = _m('(Have an [OpenID](http://openid.net/)? ' .
+                  '[Add an OpenID to your account](%%action.openidsettings%%)!');
             } else {
-                $instr = '(Have an [OpenID](http://openid.net/)? ' .
+                // TRANS: Page notice for anonymous users to try and get them to register with an OpenID account.
+                // TRANS: This message contains Markdown links in the form (description)[link].
+                $instr = _m('(Have an [OpenID](http://openid.net/)? ' .
                   'Try our [OpenID registration]'.
-                  '(%%action.openidlogin%%)!)';
+                  '(%%action.openidlogin%%)!)');
             }
             break;
         case 'login':
-            $instr = '(Have an [OpenID](http://openid.net/)? ' .
+            // TRANS: Page notice on the login page to try and get them to log on with an OpenID account.
+            // TRANS: This message contains Markdown links in the form (description)[link].
+            $instr = _m('(Have an [OpenID](http://openid.net/)? ' .
               'Try our [OpenID login]'.
-              '(%%action.openidlogin%%)!)';
+              '(%%action.openidlogin%%)!)');
             break;
         default:
             return true;
@@ -529,14 +492,12 @@ class OpenIDPlugin extends Plugin
      *
      * @return boolean hook value
      */
-    function onEndLoadDoc($title, &$output)
-    {
-        if ($title == 'help') {
-            $menuitem = '* [OpenID](%%doc.openid%%) - what OpenID is and how to use it with this service';
-
-            $output .= common_markup_to_html($menuitem);
-        }
-
+    function onEndDocsMenu(&$items) {
+        $items[] = array('doc', 
+                         array('title' => 'openid'),
+                         _m('MENU', 'OpenID'),
+                         _('Logging in with OpenID'),
+                         'nav_doc_openid');
         return true;
     }
 
@@ -550,24 +511,36 @@ class OpenIDPlugin extends Plugin
     function onCheckSchema()
     {
         $schema = Schema::get();
-        $schema->ensureTable('user_openid',
-                             array(new ColumnDef('canonical', 'varchar',
-                                                 '255', false, 'PRI'),
-                                   new ColumnDef('display', 'varchar',
-                                                 '255', false, 'UNI'),
-                                   new ColumnDef('user_id', 'integer',
-                                                 null, false, 'MUL'),
-                                   new ColumnDef('created', 'datetime',
-                                                 null, false),
-                                   new ColumnDef('modified', 'timestamp')));
-        $schema->ensureTable('user_openid_trustroot',
-                             array(new ColumnDef('trustroot', 'varchar',
-                                                 '255', false, 'PRI'),
-                                   new ColumnDef('user_id', 'integer',
-                                                 null, false, 'PRI'),
-                                   new ColumnDef('created', 'datetime',
-                                                 null, false),
-                                   new ColumnDef('modified', 'timestamp')));
+        $schema->ensureTable('user_openid', User_openid::schemaDef());
+        $schema->ensureTable('user_openid_trustroot', User_openid_trustroot::schemaDef());
+        $schema->ensureTable('user_openid_prefs', User_openid_prefs::schemaDef());
+
+        /* These are used by JanRain OpenID library */
+
+        $schema->ensureTable('oid_associations',
+                             array(
+                                 'fields' => array(
+                                     'server_url' => array('type' => 'blob', 'not null' => true),
+                                     'handle' => array('type' => 'varchar', 'length' => 191, 'not null' => true, 'default' => ''), // character set latin1,
+                                     'secret' => array('type' => 'blob'),
+                                     'issued' => array('type' => 'int'),
+                                     'lifetime' => array('type' => 'int'),
+                                     'assoc_type' => array('type' => 'varchar', 'length' => 64),
+                                 ),
+                                 'primary key' => array(array('server_url', 191), 'handle'),
+                             ));
+        $schema->ensureTable('oid_nonces',
+                             array(
+                                 'fields' => array(
+                                     'server_url' => array('type' => 'varchar', 'length' => 2047),
+                                     'timestamp' => array('type' => 'int'),
+                                     'salt' => array('type' => 'char', 'length' => 40),
+                                 ),
+                                 'unique keys' => array(
+                                     'oid_nonces_server_url_timestamp_salt_key' => array(array('server_url', 191), 'timestamp', 'salt'),
+                                 ),
+                             ));
+
         return true;
     }
 
@@ -604,7 +577,7 @@ class OpenIDPlugin extends Plugin
                 // TRANS: OpenID configuration menu item.
                 _m('MENU','OpenID'),
                 // TRANS: Tooltip for OpenID configuration menu item.
-                _m('OpenID configuration'),
+                _m('OpenID configuration.'),
                 $action_name == 'openidadminpanel',
                 'nav_openid_admin_panel'
             );
@@ -613,6 +586,28 @@ class OpenIDPlugin extends Plugin
         return true;
     }
 
+    /**
+     * Add OpenID information to the Account Management Control Document
+     * Event supplied by the Account Manager plugin
+     *
+     * @param array &$amcd Array that expresses the AMCD
+     *
+     * @return boolean hook value
+     */
+
+    function onEndAccountManagementControlDocument(&$amcd)
+    {
+        $amcd['auth-methods']['openid'] = array(
+            'connect' => array(
+                'method' => 'POST',
+                'path' => common_local_url('openidlogin'),
+                'params' => array(
+                    'identity' => 'openid_url'
+                )
+            )
+        );
+    }
+
     /**
      * Add our version information to output
      *
@@ -620,14 +615,14 @@ class OpenIDPlugin extends Plugin
      *
      * @return boolean hook value
      */
-    function onPluginVersion(&$versions)
+    function onPluginVersion(array &$versions)
     {
         $versions[] = array('name' => 'OpenID',
-                            'version' => STATUSNET_VERSION,
+                            'version' => GNUSOCIAL_VERSION,
                             'author' => 'Evan Prodromou, Craig Andrews',
                             'homepage' => 'http://status.net/wiki/Plugin:OpenID',
                             'rawdescription' =>
-                            // TRANS: OpenID plugin description.
+                            // TRANS: Plugin description.
                             _m('Use <a href="http://openid.net/">OpenID</a> to login to the site.'));
         return true;
     }
@@ -655,7 +650,7 @@ class OpenIDPlugin extends Plugin
     {
         $action->elementStart('fieldset');
         // TRANS: OpenID plugin logon form legend.
-        $action->element('legend', null, _m('OpenID login'));
+        $action->element('legend', null, _m('LEGEND','OpenID login'));
 
         $action->elementStart('ul', 'form_data');
         $action->elementStart('li');
@@ -681,7 +676,7 @@ class OpenIDPlugin extends Plugin
             $action->input('openid_url', _m('OpenID URL'),
                          '',
                         // TRANS: OpenID plugin logon form field instructions.
-                         _m('Your OpenID URL'));
+                         _m('Your OpenID URL.'));
         }
         $action->elementEnd('li');
         $action->elementEnd('ul');
@@ -714,7 +709,7 @@ class OpenIDPlugin extends Plugin
             oid_assert_allowed($openid_url);
 
             $returnto = common_local_url(
-                'ApiOauthAuthorize',
+                'ApiOAuthAuthorize',
                 array(),
                 array(
                     'oauth_token' => $action->arg('oauth_token'),
@@ -738,26 +733,54 @@ class OpenIDPlugin extends Plugin
 
     /**
      * Add link in user's XRD file to allow OpenID login.
-     * 
+     *
      * This link in the XRD should let users log in with their
      * Webfinger identity to services that support it. See
      * http://webfinger.org/login for an example.
      *
-     * @param XRD  &$xrd Currently-displaying XRD object
-     * @param User $user The user that it's for
-     * 
+     * @param XML_XRD   $xrd    Currently-displaying resource descriptor
+     * @param Profile   $target The profile that it's for
+     *
      * @return boolean hook value (always true)
      */
 
-    function onEndXrdActionLinks(&$xrd, $user)
+    function onEndWebFingerProfileLinks(XML_XRD $xrd, Profile $target)
     {
-        $profile = $user->getProfile();
-       
-        if (!empty($profile)) {
-            $xrd->links[] = array('rel' => 'http://specs.openid.net/auth/2.0/provider',
-                                  'href' => $profile->profileurl);
+        $xrd->links[] = new XML_XRD_Element_Link(
+                            'http://specs.openid.net/auth/2.0/provider',
+                            $target->profileurl);
+
+        return true;
+    }
+
+    /**
+     * Add links in the user's profile block to their OpenID URLs.
+     *
+     * @param Profile $profile The profile being shown
+     * @param Array   &$links  Writeable array of arrays (href, text, image).
+     *
+     * @return boolean hook value (true)
+     */
+    
+    function onOtherAccountProfiles($profile, &$links)
+    {
+        $prefs = User_openid_prefs::getKV('user_id', $profile->id);
+
+        if (empty($prefs) || !$prefs->hide_profile_link) {
+
+            $oid = new User_openid();
+
+            $oid->user_id = $profile->id;
+
+            if ($oid->find()) {
+                while ($oid->fetch()) {
+                    $links[] = array('href' => $oid->display,
+                                     'text' => _('OpenID'),
+                                     'image' => $this->path("icons/openid-16x16.gif"));
+                }
+            }
         }
-       
+
         return true;
     }
 }