sgcAuth : composants OAuth2, JWT et WebAuthn pour Delphi et C++ Builder

TsgcHTTP_OAuth2_Client pilote OAuth2Options.GrantType à travers auth2Code pour les applications de confiance côté serveur, auth2CodePKCE pour les applications natives, mobiles et à page unique, auth2ClientCredentials pour les démons et comptes de service, auth2ResourceOwnerPassword, et auth2DeviceCode (RFC 8628) pour les smart TV, les bornes et autres appareils à saisie limitée. Pointe AuthorizationServerOptions vers les points de terminaison d'autorisation, de token, de révocation et d'introspection du fournisseur et le composant fait le reste : quand Active/Start exécute le flux Authorization Code, il ouvre le navigateur système et lance un petit serveur HTTP local depuis LocalServerOptions pour capter la redirection, échangeant le code contre un token en HTTPS pur via HTTPClientOptions. Refresh, Revoke et Introspect couvrent ensuite le cycle de vie du token, et DPoPOptions plus GenerateDPoPKeyPair ajoutent la preuve de possession DPoP (RFC 9449) pour les fournisseurs qui l'exigent. Des préréglages Google et Microsoft prêts à l'emploi configurent les points de terminaison et les scopes courants à ta place.

TsgcHTTP_JWT_Client expose tout ce dont la RFC 7519 a besoin via JWTOptions : l'en-tête JOSE Header (alg, typ, kid), les revendications enregistrées Payload (iss, sub, aud, exp, nbf, iat, jti, plus des revendications personnalisées via AddKeyValue), et le matériel de clé sous Algorithms pour HMAC (HS.Secret), RSA (RS.PrivateKey) et ECDSA (ES.PrivateKey). Appelle Sign pour récupérer directement le token en sérialisation compacte, utile pour les services sans client HTTP ou WebSocket intégré, ou règle RefreshTokenAfter et laisse le composant rafraîchir iat/exp et resigner automatiquement. Le même composant se branche directement sur Authentication.Token.JWT de TsgcWebSocketClient, TsgcHTTP1Client et TsgcHTTP2Client, chaque requête sortante porte donc un token Bearer à jour sans que tu touches l'en-tête toi-même.

TsgcTOTPAuthenticator ajoute les codes à six chiffres de n'importe quelle application authenticator, Google Authenticator et Microsoft Authenticator compris, à ta connexion. GenerateSecret crée un secret Base32 aléatoire et GetProvisioningURI construit l'URI otpauth:// que tu affiches comme code QR pendant l'inscription. VerifyCode vérifie ce que l'utilisateur saisit avec un Window configurable pour le décalage d'horloge, et sa surcharge protégée contre le rejeu n'accepte jamais deux fois le même pas de temps. GenerateHOTP et VerifyHOTP couvrent les tokens matériels basés sur un compteur, GenerateRecoveryCodes remplit une liste de codes de secours à usage unique, et Algorithm, Digits et Period sélectionnent HMAC-SHA1, HMAC-SHA256 ou HMAC-SHA512 avec des codes de 6 à 8 chiffres.

TsgcLDAPClient est un client LDAP v3 qui vérifie les noms d'utilisateur et mots de passe face à Active Directory ou tout autre annuaire LDAP. Security sélectionne LDAPS sur le port 636 ou StartTLS sur le port 389, et un StartTLS refusé ferme la connexion au lieu de basculer en clair. AuthenticationMode transforme ce que l'utilisateur a saisi en nom de bind, sous forme d'UPN, de nom DOMAINE\utilisateur, de DN complet, ou d'un bind de service suivi d'une recherche avec UserSearchFilter, et Authenticate effectue toute la vérification en un seul appel. GetUserGroups retourne l'appartenance directe ou imbriquée aux groupes via LDAP_MATCHING_RULE_IN_CHAIN, Search pagine automatiquement les grands ensembles de résultats, et chaque méthode publique est sérialisée, donc une seule instance peut servir un serveur multi-thread.

TsgcSAMLServiceProvider fait de ton application web Delphi un fournisseur de services SAML 2.0 pour Microsoft Entra ID, Okta, AD FS, Google Workspace, Keycloak et d'autres fournisseurs d'identité. GetMetadata produit les métadonnées à enregistrer chez l'IdP et LoadIdPMetadata lit les siennes. GetAuthnRequestRedirectURL et GetAuthnRequestPostForm envoient le navigateur se connecter via le binding Redirect ou POST, et ProcessResponse valide ce qui revient : la signature uniquement face aux IdPCertificates de confiance, exactement une assertion pour déjouer le signature wrapping, puis l'issuer, l'audience, la destination, InResponseTo, la fenêtre de validité et un cache anti-rejeu. Le résultat arrive sous forme de TsgcSAMLResult avec le NameID, l'index de session et les attributs.

TsgcHTTP_OIDC_Client étend le client OAuth2 avec OpenID Connect. Renseigne OIDCOptions.Issuer et Discover remplit les endpoints et le JWKSURI depuis la configuration du fournisseur. Start exécute la connexion navigateur avec PKCE et un nonce frais, puis valide la signature, l'issuer, l'audience, l'expiration et le nonce du jeton d'identité, n'acceptant que RS256, RS384, RS512, ES256 et ES384, jamais none ni les algorithmes HS. OnOIDCIDToken livre les claims, GetUserInfo retourne le profil, et un cache de clés thread-safe suit la rotation des clés sans redémarrage. Côté serveur, sgcOIDC_ValidateIDToken vérifie les jetons porteurs reçus par ton API REST ou ton serveur WebSocket face au même cache.

TsgcMailOAuth2 obtient les jetons que Microsoft 365 et Gmail attendent pour la messagerie. Choisis le Provider (mopMicrosoft365, mopGmail ou mopCustom) et les Protocols que tu utilises, et le composant demande les scopes correspondants. Flow exécute la connexion navigateur avec PKCE et une redirection en boucle locale, ou le device code pour les services et consoles. Refresh renouvelle le jeton d'accès et OnTokensChanged se déclenche à chaque fois, pour que tu stockes le nouveau jeton de rafraîchissement. GetXOAuth2 et GetOAuthBearer retournent les chaînes SASL pour AUTH XOAUTH2 et AUTH OAUTHBEARER, prêtes pour Indy TIdSMTP, TIdIMAP4 et TIdPOP3 ou toute autre bibliothèque mail.