sgcAuth: Delphi & C++ Builder 向け OAuth2, JWT & WebAuthn コンポーネント

TsgcHTTP_OAuth2_Client は OAuth2Options.GrantType を通じて、信頼できるサーバーサイドアプリ向けの auth2Code、ネイティブ・モバイル・シングルページアプリ向けの auth2CodePKCE、デーモンやサービスアカウント向けの auth2ClientCredentials、auth2ResourceOwnerPassword、そしてスマート TV やキオスクなど入力に制約のあるデバイス向けの auth2DeviceCode(RFC 8628)を駆動します。AuthorizationServerOptions にプロバイダーの authorize、token、revocation、introspection の各エンドポイントを設定すれば、あとはコンポーネントが処理します。Active/Start が Authorization Code フローを実行すると、システムブラウザを開き、LocalServerOptions からリダイレクトを受け取る小さなローカル HTTP サーバーを立ち上げ、HTTPClientOptions を通じて素の HTTPS でコードをトークンに交換します。その後のトークンのライフサイクルは Refresh、Revoke、Introspect がカバーし、DPoPOptions と GenerateDPoPKeyPair が、それを要求するプロバイダー向けに DPoP プルーフオブポゼッション(RFC 9449)を追加します。Google と Microsoft の既製プリセットが、共通のエンドポイントとスコープをあらかじめ設定します。

TsgcHTTP_JWT_Client は JWTOptions を通じて、RFC 7519 が必要とするすべてを公開します。JOSE Header(alg、typ、kid)、登録済みの Payload クレーム(iss、sub、aud、exp、nbf、iat、jti、さらに AddKeyValue によるカスタムクレーム)、そして Algorithms 配下の鍵素材、HMAC(HS.Secret)、RSA(RS.PrivateKey)、ECDSA(ES.PrivateKey)です。Sign を呼び出せば、コンパクトシリアライズされたトークンをその場で取得できます。組み込みの HTTP や WebSocket クライアントを持たないサービスに便利です。あるいは RefreshTokenAfter を設定すれば、コンポーネントが iat/exp を自動的に更新して再署名します。同じコンポーネントは TsgcWebSocketClient、TsgcHTTP1Client、TsgcHTTP2Client の Authentication.Token.JWT にそのまま接続できるため、ヘッダーを自分で操作しなくても、送信するすべてのリクエストに新しい Bearer トークンが付与されます。

TsgcTOTPAuthenticator は、Google Authenticator や Microsoft Authenticator を含むあらゆる認証アプリの6桁コードをサインインに追加します。GenerateSecret はランダムな Base32 シークレットを生成し、GetProvisioningURI は登録時に QR コードとして描画する otpauth:// URI を構築します。VerifyCode は、クロックドリフトに対応する設定可能な Window を使ってユーザーが入力したコードを確認し、リプレイ対策付きのオーバーロードは同じタイムステップのコードを二度と受け付けません。GenerateHOTP と VerifyHOTP はカウンターベースのハードウェアトークンに対応し、GenerateRecoveryCodes はワンタイムの予備コードのリストを生成します。Algorithm、Digits、Period により、HMAC-SHA1、HMAC-SHA256、HMAC-SHA512 と6〜8桁のコードを選択できます。

TsgcLDAPClient は、Active Directory や他の任意の LDAP ディレクトリに対してユーザー名とパスワードを検証する LDAP v3 クライアントです。Security でポート636の LDAPS またはポート389の StartTLS を選択でき、StartTLS が拒否された場合は平文へのフォールバックではなく接続が閉じられます。AuthenticationMode は、UPN、DOMAIN\user 形式、完全な DN、あるいはサービスバインドと UserSearchFilter による検索のいずれかで、入力された名前をバインド名に変換し、Authenticate がこの確認を1回の呼び出しで完了します。GetUserGroups は LDAP_MATCHING_RULE_IN_CHAIN による直接または入れ子のグループメンバーシップを返し、Search は大きな結果セットを自動的にページングし、すべての公開メソッドが直列化されているため、単一インスタンスでマルチスレッドサーバーを処理できます。

TsgcSAMLServiceProvider は、Microsoft Entra ID、Okta、AD FS、Google Workspace、Keycloak などのIDプロバイダーに対して、Delphi の Web アプリケーションを SAML 2.0 サービスプロバイダーにします。GetMetadata は IdP に登録するメタデータを生成し、LoadIdPMetadata は IdP 側のメタデータを読み込みます。GetAuthnRequestRedirectURL と GetAuthnRequestPostForm は Redirect または POST バインディングでブラウザをサインインへ送り、ProcessResponse が返ってきた内容を検証します。署名は信頼された IdPCertificates に対してのみ検証し、署名ラッピングを防ぐためにアサーションは正確に1つとし、その後に発行者、対象者、宛先、InResponseTo、有効期間、リプレイキャッシュを確認します。結果は NameID、セッションインデックス、属性を含む TsgcSAMLResult として得られます。

TsgcHTTP_OIDC_Client は OAuth2 クライアントに OpenID Connect を追加します。OIDCOptions.Issuer を設定すると、Discover がプロバイダー構成からエンドポイントと JWKSURI を取得します。Start は PKCE と新しい nonce でブラウザサインインを実行し、その後 ID トークンの署名、発行者、対象者、有効期限、nonce を検証します。受け入れるのは RS256、RS384、RS512、ES256、ES384 のみで、none や HS系アルゴリズムは受け付けません。OnOIDCIDToken がクレームを返し、GetUserInfo がプロフィールを返し、スレッドセーフな鍵キャッシュにより再起動なしで鍵ローテーションに追従します。サーバー側では、sgcOIDC_ValidateIDToken が同じキャッシュに対して、REST API や WebSocket サーバーが受け取るベアラートークンを検証します。

TsgcMailOAuth2 は、Microsoft 365 と Gmail のメールが要求するトークンを取得します。Provider(mopMicrosoft365、mopGmail、mopCustom)と使用する Protocols を選ぶと、コンポーネントが対応するスコープを要求します。Flow は、PKCE とループバックリダイレクトによるブラウザサインイン、またはサービスやコンソール向けのデバイスコードフローを実行します。Refresh がアクセストークンを更新し、OnTokensChanged が毎回発生するため、新しいリフレッシュトークンを保存できます。GetXOAuth2 と GetOAuthBearer は AUTH XOAUTH2 と AUTH OAUTHBEARER 用の SASL 文字列を返し、Indy の TIdSMTP、TIdIMAP4、TIdPOP3 や他の任意のメールライブラリですぐに使えます。