sgcAuth: OAuth2-, JWT- & WebAuthn-Komponenten für Delphi & C++ Builder

TsgcHTTP_OAuth2_Client steuert OAuth2Options.GrantType über auth2Code für vertrauenswürdige serverseitige Anwendungen, auth2CodePKCE für native, mobile und Single-Page-Anwendungen, auth2ClientCredentials für Daemons und Service-Konten, auth2ResourceOwnerPassword sowie auth2DeviceCode (RFC 8628) für Smart-TVs, Kiosksysteme und andere eingabebeschränkte Geräte. Richte AuthorizationServerOptions auf die Authorize-, Token-, Revocation- und Introspection-Endpunkte des Anbieters aus, und die Komponente erledigt den Rest: Wenn Active/Start den Authorization-Code-Flow ausführt, öffnet sie den Systembrowser und startet einen kleinen lokalen HTTP-Server aus LocalServerOptions, um die Weiterleitung abzufangen, und tauscht den Code über reines HTTPS via HTTPClientOptions gegen ein Token. Refresh, Revoke und Introspect decken danach den restlichen Token-Lebenszyklus ab, und DPoPOptions plus GenerateDPoPKeyPair ergänzen DPoP Proof-of-Possession (RFC 9449) für Anbieter, die es verlangen. Fertige Google- und Microsoft-Presets konfigurieren die gängigen Endpunkte und Scopes für dich.

TsgcHTTP_JWT_Client stellt über JWTOptions alles bereit, was RFC 7519 braucht: den JOSE-Header (alg, typ, kid), die registrierten Payload-Claims (iss, sub, aud, exp, nbf, iat, jti, dazu benutzerdefinierte Claims über AddKeyValue) und das Schlüsselmaterial unter Algorithms für HMAC (HS.Secret), RSA (RS.PrivateKey) und ECDSA (ES.PrivateKey). Rufe Sign auf, um das Token in Compact-Serialisierung direkt zurückzubekommen, nützlich für Dienste ohne eingebauten HTTP- oder WebSocket-Client, oder setze RefreshTokenAfter und lass die Komponente iat/exp automatisch aktualisieren und neu signieren. Dieselbe Komponente klinkt sich direkt in Authentication.Token.JWT von TsgcWebSocketClient, TsgcHTTP1Client und TsgcHTTP2Client ein, sodass jede ausgehende Anfrage ein frisches Bearer-Token trägt, ohne dass du den Header selbst anfasst.

TsgcTOTPAuthenticator ergänzt deine Anmeldung um die sechsstelligen Codes einer beliebigen Authenticator-App, einschließlich Google Authenticator und Microsoft Authenticator. GenerateSecret erzeugt ein zufälliges Base32-Geheimnis, und GetProvisioningURI erstellt die otpauth://-URI, die du bei der Registrierung als QR-Code darstellst. VerifyCode prüft die Eingabe des Benutzers mit einem konfigurierbaren Window für Zeitabweichungen, und die Überladung mit Replay-Schutz akzeptiert niemals denselben Zeitschritt zweimal. GenerateHOTP und VerifyHOTP decken zählerbasierte Hardware-Token ab, GenerateRecoveryCodes füllt eine Liste von Einmal-Ausweichcodes, und Algorithm, Digits und Period wählen HMAC-SHA1, HMAC-SHA256 oder HMAC-SHA512 mit Codes von 6 bis 8 Stellen.

TsgcLDAPClient ist ein LDAP-v3-Client, der Benutzernamen und Kennwörter gegen Active Directory oder ein beliebiges anderes LDAP-Verzeichnis prüft. Security wählt LDAPS auf Port 636 oder StartTLS auf Port 389, und ein abgelehntes StartTLS schließt die Verbindung, statt auf Klartext zurückzufallen. AuthenticationMode wandelt die Eingabe des Benutzers in einen Bind-Namen um, als UPN, als DOMAIN\user-Name, als vollständigen DN oder als Dienst-Bind gefolgt von einer Suche mit UserSearchFilter, und Authenticate erledigt die gesamte Prüfung in einem Aufruf. GetUserGroups liefert direkte oder verschachtelte Gruppenmitgliedschaft über LDAP_MATCHING_RULE_IN_CHAIN, Search paginiert große Ergebnismengen automatisch, und jede öffentliche Methode ist serialisiert, sodass eine einzelne Instanz einen mehrfädigen Server bedienen kann.

TsgcSAMLServiceProvider macht deine Delphi-Webanwendung zu einem SAML-2.0-Service-Provider für Microsoft Entra ID, Okta, AD FS, Google Workspace, Keycloak und andere Identity Provider. GetMetadata erzeugt die Metadaten, die du beim IdP registrierst, und LoadIdPMetadata liest dessen Metadaten. GetAuthnRequestRedirectURL und GetAuthnRequestPostForm schicken den Browser zur Anmeldung über das Redirect- oder POST-Binding, und ProcessResponse validiert die Antwort: die Signatur ausschließlich gegen die vertrauenswürdigen IdPCertificates, genau eine Assertion zur Abwehr von Signature Wrapping, dann Issuer, Audience, Destination, InResponseTo, das Gültigkeitsfenster und einen Replay-Cache. Das Ergebnis kommt als TsgcSAMLResult mit NameID, Session-Index und den Attributen zurück.

TsgcHTTP_OIDC_Client erweitert den OAuth2-Client um OpenID Connect. Setze OIDCOptions.Issuer, und Discover füllt die Endpunkte sowie die JWKSURI aus der Provider-Konfiguration. Start führt die Anmeldung per Browser mit PKCE und einer frischen Nonce aus und validiert anschließend Signatur, Issuer, Audience, Ablaufzeit und Nonce des ID-Tokens, wobei nur RS256, RS384, RS512, ES256 und ES384 akzeptiert werden, nie none oder die HS-Algorithmen. OnOIDCIDToken liefert die Claims, GetUserInfo gibt das Profil zurück, und ein threadsicherer Schlüssel-Cache folgt der Schlüsselrotation ohne Neustart. Serverseitig prüft sgcOIDC_ValidateIDToken die Bearer-Token, die deine REST-API oder dein WebSocket-Server erhält, gegen denselben Cache.

TsgcMailOAuth2 besorgt die Token, die Microsoft 365 und Gmail für den Mailversand erwarten. Wähle den Provider (mopMicrosoft365, mopGmail oder mopCustom) und die Protocols, die du nutzt, und die Komponente fordert die passenden Scopes an. Flow führt die Anmeldung per Browser mit PKCE und einem Loopback-Redirect aus, oder den Device-Code-Ablauf für Dienste und Konsolen. Refresh erneuert das Access Token, und OnTokensChanged feuert bei jeder Änderung, sodass du das neue Refresh Token speichern kannst. GetXOAuth2 und GetOAuthBearer liefern die SASL-Strings für AUTH XOAUTH2 und AUTH OAUTHBEARER, einsatzbereit für Indy TIdSMTP, TIdIMAP4 und TIdPOP3 oder jede andere Mail-Bibliothek.