OAuth-Auth-Flow vervollstaendigen (PKCE, Callback, Token-Forward) #52

New issue

Closed

opened 2026-06-21 14:38:48 +00:00 by niboer · 0 comments

niboer commented

2026-06-21 14:38:48 +00:00

Owner

Beschreibung

Der OAuth2-PKCE-Flow (Issue #3, MS8) wurde nur teilweise implementiert:

Login-Route hardcodiert client_id und erzeugt kein PKCE-Challenge
Callback-Route ist ein No-Op (nur 302 /)
BFF-Proxy leitet kein Authorization: Bearer ans Backend weiter
Logout loescht nur session_token

Betroffene Dateien

rontend/src/routes/login/+server.ts
rontend/src/routes/callback/+server.ts
rontend/src/routes/logout/+server.ts
rontend/src/routes/api/[...path]/+server.ts
rontend/src/hooks.server.ts

Umsetzung

Env-Var KEYCLOAK_CLIENT_ID in .env.example ergaenzen
PKCE code_verifier/code_challenge + state in Login-Route
OAuth-Code-Austausch im Callback (POST an /token-Endpoint)
session_token-Cookie setzen
BFF-Proxy leitet Token als Authorization: Bearer weiter
Logout loescht alle Auth-Cookies
Unit-Tests

### Beschreibung Der OAuth2-PKCE-Flow (Issue #3, MS8) wurde nur teilweise implementiert: - Login-Route hardcodiert client_id und erzeugt kein PKCE-Challenge - Callback-Route ist ein No-Op (nur 302 /) - BFF-Proxy leitet kein Authorization: Bearer ans Backend weiter - Logout loescht nur session_token ### Betroffene Dateien - rontend/src/routes/login/+server.ts - rontend/src/routes/callback/+server.ts - rontend/src/routes/logout/+server.ts - rontend/src/routes/api/[...path]/+server.ts - rontend/src/hooks.server.ts ### Umsetzung 1. Env-Var KEYCLOAK_CLIENT_ID in .env.example ergaenzen 2. PKCE code_verifier/code_challenge + state in Login-Route 3. OAuth-Code-Austausch im Callback (POST an /token-Endpoint) 4. session_token-Cookie setzen 5. BFF-Proxy leitet Token als Authorization: Bearer weiter 6. Logout loescht alle Auth-Cookies 7. Unit-Tests

niboer added this to the MS9: API-Playground milestone

2026-06-21 14:38:48 +00:00

niboer added the

component/frontend

prio/high

labels

2026-06-21 14:38:48 +00:00

niboer referenced this issue from a commit

2026-06-21 14:56:20 +00:00

chore(frontend): KEYCLOAK_CLIENT_ID in .env.example ergaenzt

niboer referenced this issue from a commit

2026-06-21 14:56:20 +00:00