sgcAuth: componenti OAuth2, JWT e WebAuthn per Delphi e C++ Builder

TsgcHTTP_OAuth2_Client pilota OAuth2Options.GrantType attraverso auth2Code per applicazioni server-side affidabili, auth2CodePKCE per app native, mobile e single-page, auth2ClientCredentials per demoni e account di servizio, auth2ResourceOwnerPassword, e auth2DeviceCode (RFC 8628) per smart TV, chioschi e altri dispositivi con input limitato. Punta AuthorizationServerOptions sugli endpoint di autorizzazione, token, revoca e introspezione del provider e il componente fa il resto: quando Active/Start esegue il flusso Authorization Code, apre il browser di sistema e avvia un piccolo server HTTP locale da LocalServerOptions per intercettare il redirect, scambiando il codice con un token su HTTPS puro attraverso HTTPClientOptions. Refresh, Revoke e Introspect coprono il ciclo di vita del token da lì in poi, e DPoPOptions più GenerateDPoPKeyPair aggiungono la proof-of-possession DPoP (RFC 9449) per i provider che la richiedono. Preset già pronti per Google e Microsoft configurano gli endpoint e gli scope comuni al posto tuo.

TsgcHTTP_JWT_Client espone tutto ciò che serve alla RFC 7519 attraverso JWTOptions: l'header JOSE (alg, typ, kid), le claim registrate del Payload (iss, sub, aud, exp, nbf, iat, jti, più claim personalizzate tramite AddKeyValue), e il materiale della chiave sotto Algorithms per HMAC (HS.Secret), RSA (RS.PrivateKey) ed ECDSA (ES.PrivateKey). Chiama Sign per ottenere direttamente il token in serializzazione compatta, utile per servizi senza un client HTTP o WebSocket integrato, oppure imposta RefreshTokenAfter e lascia che il componente aggiorni iat/exp e rifirmi automaticamente. Lo stesso componente si collega direttamente ad Authentication.Token.JWT su TsgcWebSocketClient, TsgcHTTP1Client e TsgcHTTP2Client, così ogni richiesta in uscita porta un Bearer token aggiornato senza che tu debba toccare l'header.

TsgcTOTPAuthenticator aggiunge al tuo accesso i codici a sei cifre di qualsiasi app authenticator, Google Authenticator e Microsoft Authenticator incluse. GenerateSecret crea un secret Base32 casuale e GetProvisioningURI costruisce l'URI otpauth:// che rendi come codice QR durante l'iscrizione. VerifyCode verifica quello che digita l'utente con una Window configurabile per lo sfasamento dell'orologio, e il suo overload con protezione dai replay non accetta mai due volte lo stesso step temporale. GenerateHOTP e VerifyHOTP coprono i token hardware basati sul contatore, GenerateRecoveryCodes riempie una lista di codici di riserva monouso, e Algorithm, Digits e Period selezionano HMAC-SHA1, HMAC-SHA256 o HMAC-SHA512 con codici da 6 a 8 cifre.

TsgcLDAPClient è un client LDAP v3 che verifica nomi utente e password su Active Directory o qualsiasi altra directory LDAP. Security seleziona LDAPS sulla porta 636 o StartTLS sulla porta 389, e uno StartTLS rifiutato chiude la connessione invece di ripiegare sul testo in chiaro. AuthenticationMode trasforma quanto digitato dall'utente in un bind name, come UPN, come nome DOMAIN\user, come DN completo, oppure come bind di servizio seguito da una ricerca con UserSearchFilter, e Authenticate esegue l'intera verifica in un'unica chiamata. GetUserGroups restituisce l'appartenenza diretta o annidata ai gruppi tramite LDAP_MATCHING_RULE_IN_CHAIN, Search pagina automaticamente i risultati numerosi, e ogni metodo pubblico è serializzato, così un'unica istanza può servire un server multi-thread.

TsgcSAMLServiceProvider trasforma la tua applicazione web Delphi in un service provider SAML 2.0 per Microsoft Entra ID, Okta, AD FS, Google Workspace, Keycloak e altri identity provider. GetMetadata produce i metadata che registri presso l'IdP e LoadIdPMetadata legge i suoi. GetAuthnRequestRedirectURL e GetAuthnRequestPostForm inviano il browser ad accedere tramite il binding Redirect o POST, e ProcessResponse convalida ciò che torna indietro: la firma solo rispetto agli IdPCertificates fidati, esattamente un'assertion per neutralizzare il signature wrapping, poi issuer, audience, destination, InResponseTo, la finestra di validità e una cache anti-replay. Il risultato arriva come un TsgcSAMLResult con il NameID, l'indice di sessione e gli attributi.

TsgcHTTP_OIDC_Client estende il client OAuth2 con OpenID Connect. Imposta OIDCOptions.Issuer e Discover popola gli endpoint e il JWKSURI a partire dalla configurazione del provider. Start esegue l'accesso via browser con PKCE e un nonce nuovo, poi convalida firma, issuer, audience, scadenza e nonce dell'ID token, accettando solo RS256, RS384, RS512, ES256 ed ES384 e mai none o gli algoritmi HS. OnOIDCIDToken consegna i claim, GetUserInfo restituisce il profilo, e una cache di chiavi thread safe segue la rotazione delle chiavi senza bisogno di un riavvio. Lato server, sgcOIDC_ValidateIDToken verifica i bearer token ricevuti dalla tua REST API o dal server WebSocket rispetto alla stessa cache.

TsgcMailOAuth2 ottiene i token richiesti da Microsoft 365 e Gmail per la posta. Scegli Provider (mopMicrosoft365, mopGmail o mopCustom) e i Protocols che usi, e il componente richiede gli scope corrispondenti. Flow esegue l'accesso via browser con PKCE e un loopback redirect, oppure il flusso device code per servizi e console. Refresh rinnova l'access token e OnTokensChanged viene generato ogni volta, così puoi salvare il nuovo refresh token. GetXOAuth2 e GetOAuthBearer restituiscono le stringhe SASL per AUTH XOAUTH2 e AUTH OAUTHBEARER, pronte per Indy TIdSMTP, TIdIMAP4 e TIdPOP3 o qualsiasi altra libreria di posta.