sgcAuth: OAuth2-, JWT- & WebAuthn-componenten voor Delphi & C++ Builder

TsgcHTTP_OAuth2_Client stuurt OAuth2Options.GrantType via auth2Code voor vertrouwde server-side toepassingen, auth2CodePKCE voor native, mobiele en single-page apps, auth2ClientCredentials voor daemons en serviceaccounts, auth2ResourceOwnerPassword, en auth2DeviceCode (RFC 8628) voor smart-tv's, kiosken en andere invoerbeperkte apparaten. Richt AuthorizationServerOptions op de authorize-, token-, revocation- en introspection-endpoints van de provider, en het component regelt de rest: wanneer Active/Start de Authorization Code-flow doorloopt, opent het de systeembrowser en zet het een kleine lokale HTTP-server op vanuit LocalServerOptions om de redirect op te vangen, waarna de code via gewone HTTPS door HTTPClientOptions wordt ingewisseld voor een token. Refresh, Revoke en Introspect dekken de tokenlevenscyclus daarna, en DPoPOptions plus GenerateDPoPKeyPair voegen DPoP proof-of-possession (RFC 9449) toe voor providers die dat vereisen. Kant-en-klare presets voor Google en Microsoft configureren de gangbare endpoints en scopes voor je.

TsgcHTTP_JWT_Client ontsluit alles wat RFC 7519 nodig heeft via JWTOptions: de JOSE-Header (alg, typ, kid), de geregistreerde Payload-claims (iss, sub, aud, exp, nbf, iat, jti, plus custom claims via AddKeyValue), en het sleutelmateriaal onder Algorithms voor HMAC (HS.Secret), RSA (RS.PrivateKey) en ECDSA (ES.PrivateKey). Roep Sign aan om het token in compact-serialisatie direct terug te krijgen, handig voor diensten zonder ingebouwde HTTP- of WebSocket-client, of stel RefreshTokenAfter in en laat het component iat/exp automatisch vernieuwen en opnieuw ondertekenen. Hetzelfde component sluit rechtstreeks aan op Authentication.Token.JWT op TsgcWebSocketClient, TsgcHTTP1Client en TsgcHTTP2Client, zodat elk uitgaand request een vers Bearer-token meekrijgt zonder dat jij de header zelf aanraakt.

TsgcTOTPAuthenticator voegt de zescijferige codes van elke authenticator-app toe aan je aanmelding, Google Authenticator en Microsoft Authenticator inbegrepen. GenerateSecret maakt een willekeurig Base32-secret aan en GetProvisioningURI bouwt de otpauth://-URI die je als QR-code toont tijdens registratie. VerifyCode controleert wat de gebruiker invoert met een instelbare Window voor klokverschil, en de replay-veilige overload accepteert nooit tweemaal dezelfde tijdstap. GenerateHOTP en VerifyHOTP dekken tellergebaseerde hardwaretokens, GenerateRecoveryCodes vult een lijst met eenmalige herstelcodes, en Algorithm, Digits en Period kiezen HMAC-SHA1, HMAC-SHA256 of HMAC-SHA512 met codes van 6 tot 8 cijfers.

TsgcLDAPClient is een LDAP v3-client die gebruikersnamen en wachtwoorden controleert tegen Active Directory of elke andere LDAP-directory. Security kiest LDAPS op poort 636 of StartTLS op poort 389, en een geweigerde StartTLS sluit de verbinding in plaats van terug te vallen op leesbare tekst. AuthenticationMode zet wat de gebruiker invoerde om in een bind-naam, als UPN, als DOMAIN\gebruiker-naam, als volledige DN, of als een service-bind gevolgd door een zoekopdracht met UserSearchFilter, en Authenticate voert de hele controle in één aanroep uit. GetUserGroups geeft directe of geneste groepslidmaatschap terug via LDAP_MATCHING_RULE_IN_CHAIN, Search pagineert grote resultatensets automatisch, en elke publieke methode is geserialiseerd, zodat één instantie een multithreaded server kan bedienen.

TsgcSAMLServiceProvider maakt van je Delphi-webtoepassing een SAML 2.0 service provider voor Microsoft Entra ID, Okta, AD FS, Google Workspace, Keycloak en andere identity providers. GetMetadata produceert de metadata die je bij de IdP registreert en LoadIdPMetadata leest de hunne. GetAuthnRequestRedirectURL en GetAuthnRequestPostForm sturen de browser om aan te melden via de Redirect- of POST-binding, en ProcessResponse valideert wat terugkomt: de handtekening alleen tegen de vertrouwde IdPCertificates, precies één assertion om signature wrapping te verijdelen, dan issuer, audience, destination, InResponseTo, het geldigheidsvenster en een replaycache. Het resultaat komt terug als een TsgcSAMLResult met de NameID, de session index en de attributen.

TsgcHTTP_OIDC_Client breidt de OAuth2-client uit met OpenID Connect. Stel OIDCOptions.Issuer in en Discover vult de endpoints en de JWKSURI aan de hand van de providerconfiguratie. Start doorloopt het aanmelden via browser met PKCE en een nieuwe nonce, en valideert vervolgens de handtekening, issuer, audience, vervaldatum en nonce van het ID-token, waarbij alleen RS256, RS384, RS512, ES256 en ES384 worden geaccepteerd en nooit none of de HS-algoritmes. OnOIDCIDToken levert de claims, GetUserInfo geeft het profiel terug, en een thread-safe sleutelcache volgt sleutelrotatie zonder herstart. Aan serverzijde controleert sgcOIDC_ValidateIDToken de bearer-tokens die je REST API of WebSocket-server ontvangt tegen dezelfde cache.

TsgcMailOAuth2 haalt de tokens op die Microsoft 365 en Gmail voor mail verwachten. Kies de Provider (mopMicrosoft365, mopGmail of mopCustom) en de Protocols die je gebruikt, en het component vraagt de bijbehorende scopes op. Flow doorloopt het aanmelden via browser met PKCE en een loopback-redirect, of de device-code-flow voor services en consoles. Refresh vernieuwt het access token en OnTokensChanged wordt elke keer geactiveerd, zodat je het nieuwe refresh token kunt bewaren. GetXOAuth2 en GetOAuthBearer geven de SASL-strings terug voor AUTH XOAUTH2 en AUTH OAUTHBEARER, klaar voor Indy TIdSMTP, TIdIMAP4 en TIdPOP3 of elke andere mailbibliotheek.