src/main/java/org/onap/aai/sparky/security/filter/CspCookieFilter.java

   1 /**
   2  * ============LICENSE_START=======================================================
   3  * org.onap.aai
   4  * ================================================================================
   5  * Copyright © 2017 AT&T Intellectual Property. All rights reserved.
   6  * Copyright © 2017 Amdocs
   7  * ================================================================================
   8  * Licensed under the Apache License, Version 2.0 (the "License");
   9  * you may not use this file except in compliance with the License.
  10  * You may obtain a copy of the License at
  11  *
  12  *       http://www.apache.org/licenses/LICENSE-2.0
  13  *
  14  * Unless required by applicable law or agreed to in writing, software
  15  * distributed under the License is distributed on an "AS IS" BASIS,
  16  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
  17  * See the License for the specific language governing permissions and
  18  * limitations under the License.
  19  * ============LICENSE_END=========================================================
  20  *
  21  * ECOMP is a trademark and service mark of AT&T Intellectual Property.
  22  */
  23 package org.onap.aai.sparky.security.filter;
  24
  25 import java.io.FileInputStream;
  26 import java.io.IOException;
  27 import java.io.InputStream;
  28 import java.io.UnsupportedEncodingException;
  29 import java.net.URLDecoder;
  30 import java.net.URLEncoder;
  31 import java.nio.charset.StandardCharsets;
  32 import java.util.ArrayList;
  33 import java.util.Arrays;
  34 import java.util.List;
  35 import java.util.Properties;
  36
  37 import javax.servlet.Filter;
  38 import javax.servlet.FilterChain;
  39 import javax.servlet.FilterConfig;
  40 import javax.servlet.ServletException;
  41 import javax.servlet.ServletRequest;
  42 import javax.servlet.ServletResponse;
  43 import javax.servlet.http.Cookie;
  44 import javax.servlet.http.HttpServletRequest;
  45 import javax.servlet.http.HttpServletResponse;
  46
  47 import org.onap.aai.cl.api.Logger;
  48 import org.onap.aai.cl.eelf.LoggerFactory;
  49 import org.onap.aai.cl.mdc.MdcContext;
  50 import org.onap.aai.sparky.logging.AaiUiMsgs;
  51 import org.onap.aai.sparky.util.NodeUtils;
  52 import org.onap.aai.sparky.viewandinspect.config.SparkyConstants;
  53
  54 // import esGateKeeper.esGateKeeper;
  55
  56 /**
  57  * Redirects to the AT&T global login page if the user is not authenticated.<br>
  58  * Filter properties need to be configured in: csp-cookie-filter.properties
  59  */
  60 public class CspCookieFilter implements Filter {
  61
  62   /** Redirect URL for the login page. */
  63   private String globalLoginUrl;
  64
  65   /** Application identifier. */
  66   private String applicationId;
  67
  68   /** Gatekeeper environment setting (development or production). */
  69   private String gateKeeperEnvironment;
  70
  71   private static final String FILTER_PARAMETER_CONFIG = "config";
  72   private static final String PROPERTY_GLOBAL_LOGIN_URL = "global.login.url";
  73   private static final String PROPERTY_APPLICATION_ID = "application.id";
  74   private static final String PROPERTY_GATEKEEPER_ENVIRONMENT = "gatekeeper.environment";
  75   // valid open redirect domains
  76   private List<String> redirectDomains = new ArrayList<>();
  77   private static final String PROPERTY_REDIRECT_DOMAINS = "redirect-domain";
  78
  79   /** Needed by esGateKeeper, does not accept any other value. */
  80   private static final String GATEKEEPER_ACCOUNT_NAME = "CSP";
  81
  82   private static final Logger LOG = LoggerFactory.getInstance().getLogger(CspCookieFilter.class);
  83
  84
  85   /* (non-Javadoc)
  86    * @see javax.servlet.Filter#init(javax.servlet.FilterConfig)
  87    */
  88   @Override
  89   public void init(FilterConfig filterConfig) throws ServletException {
  90         String txnID = NodeUtils.getRandomTxnId();
  91         MdcContext.initialize(txnID, "CspCookieFilter", "", "Init", "");
  92
  93         try {
  94       setConfigurationProperties(filterConfig);
  95     } catch (IOException exc) {
  96       LOG.error(AaiUiMsgs.ERROR_CSP_CONFIG_FILE);
  97       throw new ServletException(exc);
  98     }
  99   }
 100
 101
 102   /* (non-Javadoc)
 103    * @see javax.servlet.Filter#doFilter(javax.servlet.ServletRequest, javax.servlet.ServletResponse, javax.servlet.FilterChain)
 104    */
 105   @Override
 106   public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain)
 107       throws IOException, ServletException {
 108     HttpServletRequest request = (HttpServletRequest) req;
 109     HttpServletResponse response = (HttpServletResponse) res;
 110
 111     Cookie[] cookies = request.getCookies();
 112     if ((cookies == null) || (cookies.length == 0)) {
 113       doLogin(request, response);
 114       return;
 115     }
 116
 117     /*
 118      * String attEsSec = getSecurityCookie(cookies);
 119      *
 120      * if (attESSec == null || attESSec.length() == 0) { doLogin(request, response); return; }
 121      *
 122      * String attESSecUnEncrypted = esGateKeeper.esGateKeeper(attESSec, GATEKEEPER_ACCOUNT_NAME,
 123      * gateKeeperEnvironment); if (attESSecUnEncrypted == null) { doLogin(request, response); } else
 124      * {
 125      */
 126     // LOG.info("User has valid cookie");
 127     chain.doFilter(request, response);
 128     // }
 129   }
 130
 131
 132   /* (non-Javadoc)
 133    * @see javax.servlet.Filter#destroy()
 134    */
 135   @Override
 136   public void destroy() {}
 137
 138   /**
 139    * Sets all required properties needed by this filter.
 140    *
 141    * @param filterConfig the filter configuration defined in the application web.xml
 142    * @throws IOException if the properties failed to load.
 143    */
 144   private void setConfigurationProperties(FilterConfig filterConfig) throws IOException {
 145     InputStream inputStream = new FileInputStream(SparkyConstants.STATIC_CONFIG_APP_LOCATION
 146         + filterConfig.getInitParameter(FILTER_PARAMETER_CONFIG));
 147     Properties cspProperties = new Properties();
 148     cspProperties.load(inputStream);
 149     globalLoginUrl = cspProperties.getProperty(PROPERTY_GLOBAL_LOGIN_URL);
 150     applicationId = cspProperties.getProperty(PROPERTY_APPLICATION_ID);
 151     gateKeeperEnvironment = cspProperties.getProperty(PROPERTY_GATEKEEPER_ENVIRONMENT);
 152     redirectDomains = Arrays.asList(cspProperties.getProperty(PROPERTY_REDIRECT_DOMAINS).split(","));
 153   }
 154
 155   /**
 156    * Returns the attESSec cookie if found in the client.
 157    *
 158    * @param cookies the cookies available in the client
 159    * @return the attESSec authentication cookie generated by the login page.
 160    */
 161   private String getSecurityCookie(Cookie[] cookies) {
 162     String attEsSec = null;
 163     for (int i = 0; i < cookies.length; i++) {
 164       Cookie thisCookie = cookies[i];
 165       String cookieName = thisCookie.getName();
 166
 167       if ("attESSec".equals(cookieName)) {
 168         attEsSec = thisCookie.getValue();
 169         break;
 170       }
 171     }
 172     return attEsSec;
 173   }
 174
 175   /**
 176    * Redirects to the AT&T global login page. If this is an AJAX request it returns an unauthorized
 177    * HTTP error in the response.
 178    *
 179    * @param request the filter request object
 180    * @param response the filter response object
 181    * @throws IOException if there is an error setting the error response
 182    */
 183   private void doLogin(HttpServletRequest request, HttpServletResponse response)
 184       throws IOException {
 185     if (isAjaxRequest(request)) {
 186       response.sendError(HttpServletResponse.SC_UNAUTHORIZED,
 187           "User is not authorized. Please login to application");
 188     } else {
 189       // Fix for Safari 7.0.2 onwards to avoid login page cache
 190       response.addHeader("Cache-Control", "no-cache, no-store");
 191       String redirectURL = createRedirectUrl(request);
 192       if (this.isValidRedirectURL(redirectURL)){
 193           response.sendRedirect(redirectURL);
 194           LOG.debug(AaiUiMsgs.VALID_REDIRECT_URL, redirectURL);
 195       } else{
 196           response.sendError(400, "Bad redirect URL: " + redirectURL);
 197           LOG.error(AaiUiMsgs.INVALID_REDIRECT_URL, redirectURL);
 198       }
 199     }
 200   }
 201
 202   /**
 203    * Checks if a redirect url is valid
 204    * @param url URL to validate
 205    * @return true if URL is a valid redirect URL, false otherwise
 206    */
 207   private boolean isValidRedirectURL (String url){
 208       String redirectTo = url.substring(url.indexOf("?retURL=")+ "?retURL=".length());
 209       try {
 210           redirectTo = URLDecoder.decode(redirectTo, StandardCharsets.UTF_8.toString());
 211       } catch (UnsupportedEncodingException e) {
 212           LOG.error(AaiUiMsgs.UNSUPPORTED_URL_ENCODING, e.getLocalizedMessage());
 213           return false;
 214       }
 215       for (String domain: this.redirectDomains){
 216           if (redirectTo.endsWith(domain))
 217               return true;
 218       }
 219       return false;
 220   }
 221
 222
 223   /**
 224    * Returns <code>true</code> if the request is an AJAX request.
 225    *
 226    * @param request the filter request object
 227    * @return <code>true</code> if the request is an AJAX request.
 228    */
 229   private boolean isAjaxRequest(HttpServletRequest request) {
 230     String headerValue = request.getHeader("X-Requested-With");
 231     if ("XMLHttpRequest".equals(headerValue)) {
 232       return true;
 233     }
 234     return false;
 235   }
 236
 237   /**
 238    * Returns the redirection URL to the AT&T Global login page.
 239    *
 240    * @param request the request
 241    * @return the string
 242    * @throws UnsupportedEncodingException the unsupported encoding exception
 243    */
 244   private String createRedirectUrl(HttpServletRequest request) throws UnsupportedEncodingException {
 245     String returnUrl = getReturnUrl(request);
 246
 247     return globalLoginUrl + "?retURL=" + returnUrl + "&sysName=" + applicationId;
 248   }
 249
 250   /**
 251    * Gets the URL encoded return URL.
 252    *
 253    * @param request the HTTP request
 254    * @return an encoded URL to return to following login
 255    * @throws UnsupportedEncodingException the unsupported encoding exception
 256    */
 257   private String getReturnUrl(HttpServletRequest request) throws UnsupportedEncodingException {
 258     StringBuffer retUrl = request.getRequestURL();
 259     String urlParams = request.getQueryString();
 260     if (urlParams != null) {
 261       retUrl.append("?" + urlParams);
 262     }
 263     return URLEncoder.encode(retUrl.toString(), StandardCharsets.UTF_8.toString());
 264   }
 265 }