hydra-sql/readme.md

# Hydra-sql

Une [LoginApp](https://www.ory.sh/docs/hydra/concepts/login) pour le serveur OpenID Connect [Ory/Hydra](https://github.com/ory/hydra).
Elle permet de se connecter à une base de donnée et de vérifier un mot de passe donné sur une mire locale puis d'aller chercher des données demandées

## Image

- L'image standalone est construite en utilisant l'utilisateur `www-data` pour lancer supervisor (qui va lancer le process php-fpm et caddy, avec ce même user)
- C'est pour cela qu'on fini par "USER www-data" à la fin de `misc/images/hydra-oidc-standalone/Dockerfile`, sinon le conteneur `hydra-sql` ne tournera pas

## Configuration

### Variables d'environnement

| Variable                            | Description                                                                                       | Valeur par défaut                                                           | Utilisation |
| ----------------------------------- | ------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------- | ----------- |
| `APP_ENV`                           | Environnement symfony                                                                             | prod                                                                        | dev:prod    |
| `APP_DEBUG`                         | Console de debug symofny                                                                          | false                                                                       | true:false  |
| `HYDRA_ADMIN_BASE_URL`              | Url d'admin Hydra ou dispatcher                                                                   | http://hydra:4445                                                           | obligatoire |
| `BASE_URL`                          | Url d'accès                                                                                       | http://localhost:8080                                                       | obligatoire |
| `DSN_REMOTE_DATABASE`               | DSN de la BDD                                                                                     | postgresql://lasql:lasql@postgres:5432/lasql?serverVersion=15&chartset=utf8 |             |
| `DB_USER`                           | User de connection à la BDD                                                                       | lasql                                                                       | obligatoire |
| `DB_PASSWORD`                       | PAssword de l'utilisateur de la BDD                                                               | lasql                                                                       | obligatoire |
| `APP_LOCALES`                       | Langues disponibles dans l'application                                                            | fr,en                                                                       | obligatoire |
| `HASH_ALGO_LEGACY`                  | ALgorythme de Hashage par défaut                                                                  | sha256                                                                      |             |
| `SECURITY_PATTERN`                  | Séquence à employer pour le hashage du mot de passe                                               | password,salt,pepper                                                        | obligatoire |
| `PEPPER`                            | Pepper utilisé pour le Hashage                                                                    |                                                                             |             |
| `REDIS_DSN`                         | DSN du serveur Redis                                                                              | redis://redis:6379                                                          | obligatoire |
| `URL_LINK`                          | Url pouvant être utilisée dans les liens des templates                                            |                                                                             |             |
| `CADDY_HTTP_PORT`                   | Port d'écoute de l'application                                                                    | 8080                                                                        |             |
| `CADDY_HTTPS_PORT`                  | Port d'écoute de l'application                                                                    | 8443                                                                        |             |
| `CADDY_DATA_FS`                     | Chemin vers le répertoire utilisé pour le stockage de caddy                                       | /tmp/caddy                                                                  |             |
| `CADDY_APP_ROOT_PUBLIC`             | Chemin vers le répertoire utilisé pour servire les fichiers                                       | /app/public                                                                 |             |
| `CADDY_PHP_INDEX`                   | Nom du fichier a utiliser pour servir l'application                                               | index.php                                                                   |             |
| `CADDY_APP_UPSTREAM_BACKEND_SERVER` | Adresse du serveur backend FastCGI PHP vers lequel doit être diriger les requêtes PHP.            | unix//tmp/php-fpm.sock                                                      |             |
| `CADDY_TRUSTED_PROXIES`             | Spécification des adresses IP /plage IP étant sur pour transmettre les requetes HTTP              | private_ranges                                                              |             |
| `CADDY_LOG_FORMAT`                  | Spécification du format des logs                                                                  | console                                                                     |             |
| `CADDY_LOG_LEVEL`                   | Spécification du niveau de verbosité des logs                                                     | INFO                                                                        |             |
| `PHP_FPM_MEMORY_LIMIT`              | Spécification de la mémoire limite maximale alloué au processus PHP-FPM                           | 128M                                                                        |             |
| `PHP_FPM_DISPLAY_ERRORS`            | Afficahge des erreurs dans la sortie du serveur web.                                              | off                                                                         |             |
| `PHP_FPM_LISTEN`                    | Spécification du serveur sur lequel PHP FPM écoute les connexion.                                 | /tmp/php-fpm.sock                                                           |             |
| `PHP_FPM_LOG_LEVEL`                 | Spécification du niveau de verbosité des logs PHP-FPM                                             | notice                                                                      |             |
| `PHP_FPM_PM`                        | Définition du mode de gestion des processus PHP-FPM                                               | dynamic                                                                     |             |
| `PHP_FPM_PM_MAX_CHILDREN`           | Définition du nombre maximum de processus enfants que PHP-FPM peut générer                        | 5                                                                           |             |
| `PHP_FPM_PM_START_SERVERS`          | Définition du nombre de processus enfants que PHP-FPM va démarrer au lancement de PHP-FPM         | 2                                                                           |             |
| `PHP_FPM_PM_MIN_SPARE_SERVERS`      | Définition du nombre minimum de processus enfants inactifs que PHP-FPM doit conserver en réserve. | 1                                                                           |             |
| `PHP_FPM_PM_MAX_SPARE_SERVERS`      | Définition du nombre maximum de processus enfants inactifs que PHP-FPM peut conserver en réserve. | 3                                                                           |             |
| `XDG_DATA_HOME`                     | Définition du répertoire de base pour le stockage des données spécifiques à l'utilisateur.        | /tmp/data                                                                   |             |

### Algorithmes de hashage compatibles

La login app est compatible par défaut avec toutes les méthodes de hashage de PHP et avec SSHA. Aucune configuration supplémentaire n'est nécessaire.

### Pattern de hashage

Définir dans la variable `SECURITY_PATTERN` le pattern utilisé avec les mots clés: password | salt | pepper séparé par des virgules pour représenter la séquence à employer pour le hashage du mot de passe.
Exemple : `SECURITY_PATTERN="salt,password,pepper"`

### Schéma de base de donnée

Permet d'adapter les requetes SQL à la base de donnée utilisée en indiquant les noms de colonnes de celle-ci.

```yaml
# config/sql_login_configuration/sql_login.yaml
sql_login:
  login_column_name: email
  password_column_name: password
  salt_column_name: ~
  table_name: usager
  data_to_fetch:
    - email
    - lastname
    - firstname
  subject_rewrite_expression: 'firstname~"."~lastname~"@exemple.com"'
```

## Environnement de développement

### Tester

Se rendre sur [http://localhost:8000/](http://localhost:8000/) et cliquer `Login` pour commencer une nouvelle connexion.
3 utilisateurs d'exemple sont disponible pour les tests:
| Login | Mot de passe | Algorithme |
|-------|--------------|------------|
| test1@test.com | 123456 | Bcrypt |
| test2@test.com | 123456 | SHA256 |
| test3@test.com | 123456 | SSHA |

### Base de donnée

2 bases de données différentes sont disponible pour les tests.
Pour choisir la base de donnée à utiliser, modifier les d'environnement relatives à la base de donnée.

- **URL Postgres**: `postgresql://lasql:lasql@mariadb:3306/lasql?serverVersion=15&chartset=utf8`
- **URL Mariadb**: `mysql://lasql:lasql@postgres:5432/lasql`

### Redis

La variable `REDIS_DSN` est obligatoire. Hydra-sql utilise dorénavant Redis pour le stockage du cache et des session. Compatible Redis Sentinel
ex : `'redis:?host[redis1:26379]&host[redis2:26379]&host[redis3:26379]&redis_sentinel=mymaster'`

### Liste des ports

| Nom         | Description                                                                | Port(s) hôte utilisé(s) |
| ----------- | -------------------------------------------------------------------------- | ----------------------- |
| `oidc-test` | Application factice permettant de tester l'authentification OpenID Connect | `8080`                  |
| `hydra`     | Serveur Ory/Hydra                                                          | `8081`                  |
| `hydra-sql` | Login/Consent/Logout App (ce projet)                                       | `8082`                  |
| `postgres`  | Base de donnée postgres support du test et pour hydra                      | `5432`                  |
| `mariadb`   | Base de donnée mariadb support du test                                     | `3306`                  |
| `pgadmin`   | pour administrer la base de donnée                                         | `8085`                  |
traductions, sentry, form, mariadb, assets 2022-12-13 15:46:24 +01:00			`# Hydra-sql`

			`Une [LoginApp](https://www.ory.sh/docs/hydra/concepts/login) pour le serveur OpenID Connect [Ory/Hydra](https://github.com/ory/hydra).`
			`Elle permet de se connecter à une base de donnée et de vérifier un mot de passe donné sur une mire locale puis d'aller chercher des données demandées`

chore(caddy): passage à caddy 2024-03-28 11:13:41 +01:00			`## Image`

			- L'image standalone est construite en utilisant l'utilisateur `www-data` pour lancer supervisor (qui va lancer le process php-fpm et caddy, avec ce même user)
			- C'est pour cela qu'on fini par "USER www-data" à la fin de `misc/images/hydra-oidc-standalone/Dockerfile`, sinon le conteneur `hydra-sql` ne tournera pas

issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			`## Configuration`
chore(caddy): passage à caddy 2024-03-28 11:13:41 +01:00
issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			`### Variables d'environnement`
traductions, sentry, form, mariadb, assets 2022-12-13 15:46:24 +01:00
chore(caddy): passage à caddy 2024-03-28 11:13:41 +01:00			`\| Variable \| Description \| Valeur par défaut \| Utilisation \|`
			`\| ----------------------------------- \| ------------------------------------------------------------------------------------------------- \| --------------------------------------------------------------------------- \| ----------- \|`
			\| `APP_ENV` \| Environnement symfony \| prod \| dev:prod \|
			\| `APP_DEBUG` \| Console de debug symofny \| false \| true:false \|
			\| `HYDRA_ADMIN_BASE_URL` \| Url d'admin Hydra ou dispatcher \| http://hydra:4445 \| obligatoire \|
			\| `BASE_URL` \| Url d'accès \| http://localhost:8080 \| obligatoire \|
			\| `DSN_REMOTE_DATABASE` \| DSN de la BDD \| postgresql://lasql:lasql@postgres:5432/lasql?serverVersion=15&chartset=utf8 \| \|
			\| `DB_USER` \| User de connection à la BDD \| lasql \| obligatoire \|
			\| `DB_PASSWORD` \| PAssword de l'utilisateur de la BDD \| lasql \| obligatoire \|
			\| `APP_LOCALES` \| Langues disponibles dans l'application \| fr,en \| obligatoire \|
			\| `HASH_ALGO_LEGACY` \| ALgorythme de Hashage par défaut \| sha256 \| \|
			\| `SECURITY_PATTERN` \| Séquence à employer pour le hashage du mot de passe \| password,salt,pepper \| obligatoire \|
			\| `PEPPER` \| Pepper utilisé pour le Hashage \| \| \|
			\| `REDIS_DSN` \| DSN du serveur Redis \| redis://redis:6379 \| obligatoire \|
			\| `URL_LINK` \| Url pouvant être utilisée dans les liens des templates \| \| \|
			\| `CADDY_HTTP_PORT` \| Port d'écoute de l'application \| 8080 \| \|
			\| `CADDY_HTTPS_PORT` \| Port d'écoute de l'application \| 8443 \| \|
			\| `CADDY_DATA_FS` \| Chemin vers le répertoire utilisé pour le stockage de caddy \| /tmp/caddy \| \|
			\| `CADDY_APP_ROOT_PUBLIC` \| Chemin vers le répertoire utilisé pour servire les fichiers \| /app/public \| \|
			\| `CADDY_PHP_INDEX` \| Nom du fichier a utiliser pour servir l'application \| index.php \| \|
			\| `CADDY_APP_UPSTREAM_BACKEND_SERVER` \| Adresse du serveur backend FastCGI PHP vers lequel doit être diriger les requêtes PHP. \| unix//tmp/php-fpm.sock \| \|
			\| `CADDY_TRUSTED_PROXIES` \| Spécification des adresses IP /plage IP étant sur pour transmettre les requetes HTTP \| private_ranges \| \|
			\| `CADDY_LOG_FORMAT` \| Spécification du format des logs \| console \| \|
			\| `CADDY_LOG_LEVEL` \| Spécification du niveau de verbosité des logs \| INFO \| \|
			\| `PHP_FPM_MEMORY_LIMIT` \| Spécification de la mémoire limite maximale alloué au processus PHP-FPM \| 128M \| \|
			\| `PHP_FPM_DISPLAY_ERRORS` \| Afficahge des erreurs dans la sortie du serveur web. \| off \| \|
			\| `PHP_FPM_LISTEN` \| Spécification du serveur sur lequel PHP FPM écoute les connexion. \| /tmp/php-fpm.sock \| \|
			\| `PHP_FPM_LOG_LEVEL` \| Spécification du niveau de verbosité des logs PHP-FPM \| notice \| \|
			\| `PHP_FPM_PM` \| Définition du mode de gestion des processus PHP-FPM \| dynamic \| \|
			\| `PHP_FPM_PM_MAX_CHILDREN` \| Définition du nombre maximum de processus enfants que PHP-FPM peut générer \| 5 \| \|
			\| `PHP_FPM_PM_START_SERVERS` \| Définition du nombre de processus enfants que PHP-FPM va démarrer au lancement de PHP-FPM \| 2 \| \|
			\| `PHP_FPM_PM_MIN_SPARE_SERVERS` \| Définition du nombre minimum de processus enfants inactifs que PHP-FPM doit conserver en réserve. \| 1 \| \|
			\| `PHP_FPM_PM_MAX_SPARE_SERVERS` \| Définition du nombre maximum de processus enfants inactifs que PHP-FPM peut conserver en réserve. \| 3 \| \|
			\| `XDG_DATA_HOME` \| Définition du répertoire de base pour le stockage des données spécifiques à l'utilisateur. \| /tmp/data \| \|
traductions, sentry, form, mariadb, assets 2022-12-13 15:46:24 +01:00
issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			`### Algorithmes de hashage compatibles`
fix faille twig, coding standard 2022-12-16 15:39:42 +01:00
issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			`La login app est compatible par défaut avec toutes les méthodes de hashage de PHP et avec SSHA. Aucune configuration supplémentaire n'est nécessaire.`
fix faille twig, coding standard 2022-12-16 15:39:42 +01:00
issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			`### Pattern de hashage`
chore(caddy): passage à caddy 2024-03-28 11:13:41 +01:00
issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			Définir dans la variable `SECURITY_PATTERN` le pattern utilisé avec les mots clés: password \| salt \| pepper séparé par des virgules pour représenter la séquence à employer pour le hashage du mot de passe.
			Exemple : `SECURITY_PATTERN="salt,password,pepper"`
maj: sémantique, révision vérification ppassword 2022-12-14 16:38:46 +01:00
issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			`### Schéma de base de donnée`
chore(caddy): passage à caddy 2024-03-28 11:13:41 +01:00
issue-12: implémentation redis pour la gestion des session 2023-06-12 15:26:56 +02:00			`Permet d'adapter les requetes SQL à la base de donnée utilisée en indiquant les noms de colonnes de celle-ci.`
traductions, sentry, form, mariadb, assets 2022-12-13 15:46:24 +01:00
issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			```yaml
			`# config/sql_login_configuration/sql_login.yaml`
Maj env et doc 2023-12-12 08:47:41 +01:00			`sql_login:`
maj: sémantique, révision vérification ppassword 2022-12-14 16:38:46 +01:00			`login_column_name: email`
			`password_column_name: password`
			`salt_column_name: ~`
traductions, sentry, form, mariadb, assets 2022-12-13 15:46:24 +01:00			`table_name: usager`
			`data_to_fetch:`
			`- email`
			`- lastname`
			`- firstname`
feat : Ajout expression de réecriture du subject paramétrable 2024-07-24 16:41:22 +02:00			`subject_rewrite_expression: 'firstname~"."~lastname~"@exemple.com"'`
traductions, sentry, form, mariadb, assets 2022-12-13 15:46:24 +01:00			```

issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			`## Environnement de développement`

			`### Tester`
chore(caddy): passage à caddy 2024-03-28 11:13:41 +01:00
issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			Se rendre sur [http://localhost:8000/](http://localhost:8000/) et cliquer `Login` pour commencer une nouvelle connexion.
			`3 utilisateurs d'exemple sont disponible pour les tests:`
			`\| Login \| Mot de passe \| Algorithme \|`
			`\|-------\|--------------\|------------\|`
			`\| test1@test.com \| 123456 \| Bcrypt \|`
			`\| test2@test.com \| 123456 \| SHA256 \|`
			`\| test3@test.com \| 123456 \| SSHA \|`

			`### Base de donnée`
chore(caddy): passage à caddy 2024-03-28 11:13:41 +01:00
issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00			`2 bases de données différentes sont disponible pour les tests.`
			`Pour choisir la base de donnée à utiliser, modifier les d'environnement relatives à la base de donnée.`
chore(caddy): passage à caddy 2024-03-28 11:13:41 +01:00
correction phpstan 2023-12-14 10:25:22 +01:00			- URL Postgres: `postgresql://lasql:lasql@mariadb:3306/lasql?serverVersion=15&chartset=utf8`
			- URL Mariadb: `mysql://lasql:lasql@postgres:5432/lasql`
issue-21: actualisation de l'env de dev et maj dépendances 2023-12-13 15:41:54 +01:00
			`### Redis`

			La variable `REDIS_DSN` est obligatoire. Hydra-sql utilise dorénavant Redis pour le stockage du cache et des session. Compatible Redis Sentinel
			ex : `'redis:?host[redis1:26379]&host[redis2:26379]&host[redis3:26379]&redis_sentinel=mymaster'`

			`### Liste des ports`
traductions, sentry, form, mariadb, assets 2022-12-13 15:46:24 +01:00
chore(caddy): passage à caddy 2024-03-28 11:13:41 +01:00			`\| Nom \| Description \| Port(s) hôte utilisé(s) \|`
			`\| ----------- \| -------------------------------------------------------------------------- \| ----------------------- \|`
			\| `oidc-test` \| Application factice permettant de tester l'authentification OpenID Connect \| `8080` \|
			\| `hydra` \| Serveur Ory/Hydra \| `8081` \|
			\| `hydra-sql` \| Login/Consent/Logout App (ce projet) \| `8082` \|
			\| `postgres` \| Base de donnée postgres support du test et pour hydra \| `5432` \|
			\| `mariadb` \| Base de donnée mariadb support du test \| `3306` \|
			\| `pgadmin` \| pour administrer la base de donnée \| `8085` \|