impl oidc

[motoki317]

traefik-forward-authや別traQインスタンスでとりあえず動くような、Authorization Code Flowを利用した一部分のみの実装
どちらも現在のOAuth2で実際事足りているが、主に興味本位で実装した

limitations

• (元々) OAuth2のimplicit flowが未実装
  • response_mode で fragment をサポートしていない
    • response_type で token, id_token をサポートする場合、セキュリティ上 fragment に乗せる必要があるらしい
  • grant_type で implicit をサポートしていない
• id_token_signing_alg_values_supported で RS256 をサポートしていない
  • OIDC spec では必要と書かれているが、必要...？
  • 現在は決め打ちで ES256 だけ
  • ちなみに Authorization Code Flow の場合はjwtにsignしない none でもいいらしい

マージしたあとに必要な改修:

• traQ UIのconsentの画面でopenid, profile, emailスコープの説明が必要
• bot-consoleでopenid, profile, emailスコープを登録できるようにする

refs

• https://openid.net/specs/openid-connect-basic-1_0.html
• https://openid.net/specs/openid-connect-discovery-1_0.html
• https://openid.net/specs/openid-connect-core-1_0.html
• https://github.com/traPtitech/traefik-forward-auth

イメージをビルドするためのコマンドメモ
docker buildx build --platform "linux/amd64,linux/arm64" --build-arg "TRAQ_VERSION=3.15.1-p1" --build-arg "TRAQ_REVISION=$(git rev-parse --short HEAD)" -t registry.toki317.dev/pub/traq:3.15.1-p1 --push .

[motoki317]

email scopeでフェイク値を返すくらいならサポートしないほうが良さそうなので消す