Persistent XSS vulnerability in saveNewUser form fix
[portal.git] / ecomp-portal-BE-os / src / main / java / org / onap / portalapp / portal / controller / AppsOSController.java
1 /*-
2  * ============LICENSE_START==========================================
3  * ONAP Portal
4  * ===================================================================
5  * Copyright (C) 2017 AT&T Intellectual Property. All rights reserved.
6  * ===================================================================
7  *
8  * Unless otherwise specified, all software contained herein is licensed
9  * under the Apache License, Version 2.0 (the "License");
10  * you may not use this software except in compliance with the License.
11  * You may obtain a copy of the License at
12  *
13  *             http://www.apache.org/licenses/LICENSE-2.0
14  *
15  * Unless required by applicable law or agreed to in writing, software
16  * distributed under the License is distributed on an "AS IS" BASIS,
17  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
18  * See the License for the specific language governing permissions and
19  * limitations under the License.
20  *
21  * Unless otherwise specified, all documentation contained herein is licensed
22  * under the Creative Commons License, Attribution 4.0 Intl. (the "License");
23  * you may not use this documentation except in compliance with the License.
24  * You may obtain a copy of the License at
25  *
26  *             https://creativecommons.org/licenses/by/4.0/
27  *
28  * Unless required by applicable law or agreed to in writing, documentation
29  * distributed under the License is distributed on an "AS IS" BASIS,
30  * WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
31  * See the License for the specific language governing permissions and
32  * limitations under the License.
33  *
34  * ============LICENSE_END============================================
35  *
36  * 
37  */
38 package org.onap.portalapp.portal.controller;
39
40 import java.util.HashMap;
41 import java.util.Map;
42 import java.util.Set;
43 import javax.servlet.http.HttpServletRequest;
44 import javax.validation.ConstraintViolation;
45 import javax.validation.Validation;
46 import javax.validation.Validator;
47 import javax.validation.ValidatorFactory;
48 import org.json.JSONObject;
49 import org.onap.portalapp.portal.domain.EPUser;
50 import org.onap.portalapp.portal.ecomp.model.PortalRestResponse;
51 import org.onap.portalapp.portal.ecomp.model.PortalRestStatusEnum;
52 import org.onap.portalapp.portal.logging.aop.EPAuditLog;
53 import org.onap.portalapp.portal.service.UserService;
54 import org.onap.portalapp.util.EPUserUtils;
55 import org.onap.portalapp.validation.DataValidator;
56 import org.onap.portalapp.validation.SecureString;
57 import org.onap.portalsdk.core.logging.logic.EELFLoggerDelegate;
58 import org.springframework.beans.factory.annotation.Autowired;
59 import org.springframework.context.annotation.Configuration;
60 import org.springframework.context.annotation.EnableAspectJAutoProxy;
61 import org.springframework.web.bind.annotation.PathVariable;
62 import org.springframework.web.bind.annotation.RequestBody;
63 import org.springframework.web.bind.annotation.RequestMapping;
64 import org.springframework.web.bind.annotation.RequestMethod;
65 import org.springframework.web.bind.annotation.RestController;
66 import lombok.NoArgsConstructor;
67
68 @RestController
69 @Configuration
70 @EnableAspectJAutoProxy
71 @EPAuditLog
72 @NoArgsConstructor
73 public class AppsOSController extends AppsController {
74     private final DataValidator dataValidator = new DataValidator();
75
76     private static final String FAILURE = "failure";
77     private static final EELFLoggerDelegate logger = EELFLoggerDelegate.getLogger(AppsOSController.class);
78
79     @Autowired
80     UserService userService;
81
82     /**
83      * Create new application's contact us details.
84      *
85      * @param contactUs
86      * @return
87      */
88     @RequestMapping(value = "/portalApi/saveNewUser", method = RequestMethod.POST, produces = "application/json")
89     public PortalRestResponse<String> saveNewUser(HttpServletRequest request, @RequestBody EPUser newUser) {
90         EPUser user = EPUserUtils.getUserSession(request);
91         if (newUser == null)
92             return new PortalRestResponse<>(PortalRestStatusEnum.ERROR, FAILURE,
93                     "New User cannot be null or empty");
94         if (!dataValidator.isValid(newUser)) {
95             return new PortalRestResponse<>(PortalRestStatusEnum.ERROR, FAILURE,
96                     "New User is not safe html");
97         }
98         if (!(super.getAdminRolesService().isSuperAdmin(user) || super.getAdminRolesService().isAccountAdmin(user))
99                 && !user.getLoginId().equalsIgnoreCase(newUser.getLoginId())) {
100             return new PortalRestResponse<>(PortalRestStatusEnum.ERROR, FAILURE,
101                     "UnAuthorized");
102         }
103
104         String checkDuplicate = request.getParameter("isCheck");
105         String saveNewUser = FAILURE;
106         try {
107             saveNewUser = userService.saveNewUser(newUser, checkDuplicate);
108         } catch (Exception e) {
109             logger.error(EELFLoggerDelegate.errorLogger, "Exception in saveNewUser", e);
110             return new PortalRestResponse<>(PortalRestStatusEnum.ERROR, saveNewUser, e.getMessage());
111         }
112         return new PortalRestResponse<>(PortalRestStatusEnum.OK, saveNewUser, "");
113     }
114
115     @RequestMapping(value = { "/portalApi/currentUserProfile/{loginId}" }, method = RequestMethod.GET,
116             produces = "application/json")
117     public String getCurrentUserProfile(HttpServletRequest request, @PathVariable("loginId") String loginId) {
118
119         if (loginId != null) {
120             if (!dataValidator.isValid(new SecureString(loginId))) {
121                 return "loginId is not valid";
122             }
123         }
124
125         Map<String, String> map = new HashMap<>();
126         EPUser user;
127         try {
128             user = (EPUser) userService.getUserByUserId(loginId).get(0);
129             map.put("firstName", user.getFirstName());
130             map.put("lastName", user.getLastName());
131             map.put("email", user.getEmail());
132             map.put("loginId", user.getLoginId());
133             map.put("loginPwd", user.getLoginPwd());
134             map.put("middleInitial", user.getMiddleInitial());
135         } catch (Exception e) {
136             logger.error(EELFLoggerDelegate.errorLogger, "Failed to get user info", e);
137         }
138
139         JSONObject j = new JSONObject(map);
140         return j.toString();
141     }
142
143 }