Wszystko, co robi sgcAuth, rozpisane na dwa komponenty klienckie, typy przyznania uprawnień i roszczenia, które implementują, oraz komponenty WebAuthn, TOTP, LDAP, SAML, OpenID Connect i Mail OAuth2, które pakiet odblokowuje razem z sgcCustomIndy. Każda funkcja działa tak samo w Delphi i C++ Builder, a każda licencja zawiera pełny kod źródłowy.
Pięć typów przyznania uprawnień, jeden komponent
Podpisz, dołącz albo zweryfikuj
Klucze dostępu, przez sgcCustomIndy
Kody drugiego składnika i kody odzyskiwania
Logowanie do Active Directory przez TLS
Jednokrotne logowanie SAML 2.0
Logowanie z walidacją tokenu ID
OAuth2 dla SMTP, IMAP i POP3
Delphi od 7 do 13, C++ Builder
sgcAuth jest samowystarczalny. Jest dostarczany z dołączonym środowiskiem uruchomieniowym sgcWebSockets Core, więc nie jest dodatkiem dla klientów OAuth2 i JWT.
Także wewnątrz sgcWebSockets. Zarówno klient OAuth2, jak i klient JWT są dostarczane także wewnątrz sgcWebSockets od edycji Standard wzwyż. All-Access zawiera wszystko. sgcAuth to pakiet samodzielny dla zespołów, które potrzebują wyłącznie klientów uwierzytelniania.
Dwa klienty tokenów i pięć komponentów tożsamości, zarejestrowane na stronie palety SGC Auth.
| Komponent | Klasa | Zadanie | Opis |
|---|---|---|---|
| OAuth2 Client | TsgcHTTP_OAuth2_Client | Uzyskaj token | Przepływy Authorization Code, PKCE, Client Credentials, Resource Owner Password i Device Code wobec dowolnego dostawcy OAuth2/OIDC, z wbudowanym lokalnym serwerem przekierowania. |
| JWT Client | TsgcHTTP_JWT_Client | Podpisz token | Buduje, podpisuje i weryfikuje tokeny JSON Web Token, samodzielnie albo jako źródło tokenu Bearer dla TsgcWebSocketClient, TsgcHTTP1Client i TsgcHTTP2Client. |
| TOTP Authenticator | TsgcTOTPAuthenticator | Sprawdź drugi składnik | Sekrety TOTP i HOTP, provisioning QR przez otpauth, weryfikacja kodów z ochroną przed powtórzeniem oraz jednorazowe kody odzyskiwania. |
| LDAP Client | TsgcLDAPClient | Sprawdź hasło katalogowe | Logowanie LDAP v3 i Active Directory przez LDAPS lub StartTLS, zagnieżdżona przynależność do grup i przeszukiwanie stronicowane. |
| SAML Service Provider | TsgcSAMLServiceProvider | Jednokrotne logowanie | Service provider SAML 2.0 dla Entra ID, Okta, AD FS, Google Workspace i Keycloak, z rygorystyczną walidacją podpisu i asercji. |
| OpenID Connect Client | TsgcHTTP_OIDC_Client | Zaloguj użytkownika | Discovery, logowanie w przeglądarce z PKCE i nonce, walidacja tokenu ID względem kluczy dostawcy oraz endpoint userinfo. |
| Mail OAuth2 | TsgcMailOAuth2 | Uwierzytelnij pocztę | Tokeny dostępu i odświeżania dla Microsoft 365 i Gmail, a także ciągi SASL XOAUTH2 i OAUTHBEARER dla SMTP, IMAP i POP3. |
TsgcHTTP_OAuth2_Client obejmuje OAuth 2.0 (RFC 6749) od początku do końca: uruchamia przepływ, przechwytuje przekierowanie, wymienia kod na token i zarządza tokenem po tym fakcie.
| Możliwość | API | Uwagi |
|---|---|---|
| Authorization Code | OAuth2Options.GrantType := auth2Code | Standardowy przepływ dla zaufanych aplikacji webowych po stronie serwera, które mogą przechowywać sekret klienta. |
| Authorization Code + PKCE | auth2CodePKCE (RFC 7636) | Ten sam przepływ z Proof Key for Code Exchange, dla aplikacji natywnych, mobilnych i jednostronicowych, które nie mogą przechowywać sekretu. |
| Client Credentials | auth2ClientCredentials | Wywołania serwer-serwer bez udziału użytkownika: demony i konta usług. |
| Resource Owner Password | auth2ResourceOwnerPassword | Aplikacja pobiera hasło użytkownika bezpośrednio i wymienia je na token. |
| Device Code | auth2DeviceCode (RFC 8628) | Dla urządzeń o ograniczonych możliwościach wprowadzania danych, smart TV, konsol multimedialnych, IoT: pokazuje kod użytkownika, który osoba wpisuje na drugim urządzeniu. |
| Tożsamość klienta | OAuth2Options.ClientId, ClientSecret, Username, Password | Ustaw zgodnie ze specyfikacją API twojego dostawcy; Username/Password obejmują dostawców wymagających Basic Authentication na punkcie końcowym tokenu. |
| Punkty końcowe dostawcy | AuthorizationServerOptions.AuthURL, TokenURL, Scope, RevocationURL, IntrospectionURL | Adresy URL i lista zakresów opublikowane w dokumentacji OAuth2/OIDC twojego dostawcy. |
| Ustawienia wstępne społecznościowe | TsgcHTTP_OAuth2_Client_Google, TsgcHTTP_OAuth2_Client_Microsoft | Gotowe klasy potomne wstępnie konfigurujące punkty końcowe i zakresy Google oraz Microsoft. |
| Lokalny nasłuch przekierowania | LocalServerOptions.IP, Port, RedirectURL | Mały serwer HTTP uruchamiany przez komponent do odbioru przekierowania kodu autoryzacyjnego; domyślnie port 8080, albo 0 dla losowego portu w aplikacjach desktopowych. |
| Uruchom przepływ | Start, Stop | Start otwiera przeglądarkę systemową (albo wystawia kod urządzenia) i rozpoczyna skonfigurowany typ przyznania uprawnień; Stop przerywa go i zamyka lokalny nasłuch. |
| Odświeżanie | Refresh | Wymienia token odświeżający na nowy token dostępu bez kolejnego przejścia przez przeglądarkę. |
| Unieważnienie i introspekcja | Revoke (RFC 7009), Introspect (RFC 7662) | Unieważnij token albo zapytaj o jego status i metadane u dostawcy. |
| DPoP | DPoPOptions, GenerateDPoPKeyPair, OnDPoPSign | Materiał kluczowy i podpisywanie Demonstrating Proof-of-Possession (RFC 9449), dla dostawców wiążących tokeny z parą kluczy. |
| Transport HTTP | HTTPClientOptions | Konfiguracja TLS i logowania dla wewnętrznego klienta HTTP wysyłającego żądania POST do punktów końcowych tokenu, unieważnienia i introspekcji. |
| Zdarzenia cyklu życia | OnBeforeAuthorizeCode, OnAfterAuthorizeCode, OnBeforeAccessToken, OnAfterAccessToken, OnBeforeRefreshToken, OnAfterRefreshToken | Pary przed/po wokół każdego kroku przepływu. |
| Zdarzenia błędów | OnErrorAccessToken, OnErrorAuthorizeCode, OnErrorRefreshToken, OnErrorRevokeToken, OnErrorIntrospectToken | Po jednym na każdy punkt awarii w przepływie, każde niesie błąd, opis i URI od dostawcy. |
| Zdarzenia Device Code | OnDeviceCode, OnDeviceCodeExpired | Dostarcza kod użytkownika i URI weryfikacyjny do wyświetlenia oraz uruchamia się, jeśli użytkownik nie ukończy autoryzacji na czas. |
TsgcHTTP_JWT_Client implementuje RFC 7519 (JSON Web Token), RFC 7515 (JWS) i RFC 7516 (JWE) poprzez jedną właściwość JWTOptions.
| Możliwość | API | Uwagi |
|---|---|---|
| Nagłówek | JWTOptions.Header.alg, typ, kid | Nagłówek JOSE. alg wybiera jwtHS256/384/512, jwtRS256/384/512, jwtES256/384/512 albo post-kwantowe jwtMLDSA44/jwtMLDSA65/jwtMLDSA87; dodatkowe pola przez Header.AddKeyValue. |
| Ładunek / roszczenia | JWTOptions.Payload.iss, sub, aud, exp, nbf, iat, jti | Zarejestrowane roszczenia z RFC 7519; własne roszczenia dodawane są przez Payload.AddKeyValue. |
| Materiał kluczowy do podpisywania | JWTOptions.Algorithms.HS.Secret, RS.PrivateKey, ES.PrivateKey, MLDSA.PrivateKey | Wspólny sekret dla HMAC, klucz prywatny w formacie PEM dla RSA lub ECDSA, PEM w formacie PKCS#8 dla ML-DSA, wybierany przez Header.alg. |
| Podpisy post-kwantowe | jwtMLDSA44, jwtMLDSA65, jwtMLDSA87 | Algorytmy JWS ML-DSA z RFC 9964, zaimplementowane w czystym Pascalu, więc na tej ścieżce nie jest używany OpenSSL. Klient podpisuje kluczem JWTOptions.Algorithms.MLDSA.PrivateKey, czyli PEM w formacie PKCS#8; serwer weryfikuje kluczem JWTOptions.Algorithms.MLDSA.PublicKey, czyli PEM w formacie SubjectPublicKeyInfo, po ustawieniu JWTOptions.Algorithms.MLDSA.Enabled. |
| Klucze JSON Web Key dla ML-DSA | sgcMLDSA_ExportPublicJWK, sgcMLDSA_ExportPrivateJWK, sgcMLDSA_ImportJWK, sgcMLDSA_ImportJWKAsPEM | Klucze JSON Web Key typu AKP, do opublikowania klucza ML-DSA w JWKS albo odczytania go od dostawcy. |
| Automatyczne odświeżanie | JWTOptions.RefreshTokenAfter | Gdy większe od zera, Sign automatycznie odświeża iat i przelicza exp; 0 regeneruje token przy każdym żądaniu. |
| Podpisywanie samodzielne | Sign | Buduje, podpisuje i zwraca zakodowany token (header.payload.signature) jako pojedynczy ciąg, bez potrzeby klienta HTTP czy WebSocket. |
| Dołącz do klienta | Start, Client.Authentication.Token.JWT | Start podpisuje skonfigurowany JWT i dostarcza go jako token Bearer do komponentu nadrzędnego; ustaw go raz na Authentication.Token.JWT, a każde żądanie wychodzi podpisane. |
| Współpracuje z | TsgcWebSocketClient, TsgcHTTP1Client, TsgcHTTP2Client | Każdy z tych trzech akceptuje TsgcHTTP_JWT_Client jako swoje źródło tokenu Bearer przez Authentication.Token. |
| Konfiguracja OpenSSL | JWTOptions.OpenSSL_Options | Wersja API i ścieżka biblioteki używane przez algorytmy RS i ES (APIVersion, LibPath, LibPathCustom, UnixSymLinks). |
WebAuthn jest częścią historii sgcAuth, ale nie jest trzecim zarejestrowanym komponentem w tym pakiecie. Jest obsługiwany przez serwer WebAuthn sgcWebSockets i potrzebuje sgcCustomIndy pod spodem.
| Obszar | Szczegóły |
|---|---|
| Co to jest | W3C Web Authentication Level 2 (WebAuthn): logowanie bezhasłowe kluczami dostępu i kluczami bezpieczeństwa FIDO2, oparte na TsgcWSAPIServer_WebAuthn. |
| Gdzie się znajduje | TsgcWSAPIServer_WebAuthn to komponent serwerowy, część sgcWebSockets Enterprise i All-Access, a nie klient zarejestrowany przez ten pakiet. |
| Czego potrzebuje | Zmodyfikowanej biblioteki Indy, którą sgcCustomIndy dostarcza jako dodatek dla sgcWebSockets Core. |
| Jak jest dodawany | Strona zamówienia dodaje sgcCustomIndy do twojego koszyka automatycznie przy zamawianiu sgcAuth. Posiadasz już licencję? Usuń pozycję przy finalizacji zamówienia, w obu przypadkach bez dodatkowych opłat. |
| Strona kliencka | Aplikacja JavaScript po stronie przeglądarki prowadzi ceremonię WebAuthn; sgcHTML dostarcza gotowy komponent UI logowania WebAuthn, który współpracuje z serwerem. |
| Passkeys | Logowanie bez nazwy użytkownika z poświadczeniami odkrywalnymi, autouzupełnianie passkey przez mediację warunkową, kilka kluczy passkey na użytkownika, wykrywanie synchronizacji lub przypisania do urządzenia przez BackupEligible i BackupState, oraz wykrywanie sklonowanego authenticatora. |
TsgcTOTPAuthenticator implementuje TOTP (RFC 6238) i HOTP (RFC 4226), kody wyświetlane przez Google Authenticator, Microsoft Authenticator i każdą inną aplikację authenticator.
| Możliwość | API | Uwagi |
|---|---|---|
| Sekrety | GenerateSecret, SecretLength | Losowy sekret Base32, domyślnie 20 bajtów, do zapisania przy rekordzie użytkownika. |
| Provisioning QR | GetProvisioningURI, Issuer | Buduje URI otpauth://totp/ z wydawcą, algorytmem, liczbą cyfr i okresem, gotowe do wyrenderowania jako kod QR. |
| Weryfikacja kodu | VerifyCode, Window | Akceptuje bieżący krok czasowy oraz Window kroków przed nim i po nim, domyślnie 1, więc telefon z zegarem przesuniętym o kilka sekund nadal loguje. |
| Ochrona przed powtórzeniem | VerifyCode z aLastTimeStep | Akceptuje wyłącznie krok czasowy późniejszy niż ostatnio użyty i zwraca dopasowany krok, więc kod nigdy nie może zostać użyty dwukrotnie. |
| Liczniki HOTP | GenerateHOTP, VerifyHOTP | Wariant oparty na liczniku dla tokenów sprzętowych, z oknem wyprzedzenia, które resynchronizuje licznik po udanej weryfikacji. |
| Kody odzyskiwania | GenerateRecoveryCodes | Wypełnia dowolny TStrings unikalnymi jednorazowymi kodami, będącymi rozwiązaniem awaryjnym, gdy użytkownik traci urządzenie. |
| Algorytmy i cyfry | Algorithm, Digits, Period | HMAC-SHA1, domyślny obsługiwany przez każdą aplikację, HMAC-SHA256 lub HMAC-SHA512, z kodami od 6 do 8 cyfr i dowolnym okresem. |
TsgcLDAPClient to klient LDAP v3 (RFC 4511), który uwierzytelnia użytkowników względem Active Directory lub dowolnego innego katalogu LDAP i odczytuje ich grupy.
| Możliwość | API | Uwagi |
|---|---|---|
| Połączenie | Host, Connect, BindDN, Password, BaseDN | Serwer katalogowy, konto serwisowe używane do wyszukiwań oraz podstawa wyszukiwań użytkowników i grup. |
| LDAPS i StartTLS | Security, TLSOptions | ldapsecLDAPS dla niejawnego TLS na porcie 636 lub ldapsecStartTLS na porcie 389. Odrzucone StartTLS zamyka połączenie, klient nigdy nie wraca do tekstu jawnego. |
| Tryby logowania | AuthenticationMode, UserSearchFilter | ldapamUPN, ldapamDownLevel, ldapamSearchThenBind lub ldapamDN zamieniają wpisaną nazwę na nazwę bindowania. |
| Authenticate | Authenticate | Sprawdza nazwę użytkownika i hasło w jednym wywołaniu i zwraca DN użytkownika. |
| Zagnieżdżone grupy | GetUserGroups | Bezpośrednie wartości memberOf, albo każda grupa osiągalna przez inne grupy dzięki regule Active Directory LDAP_MATCHING_RULE_IN_CHAIN. |
| Przeszukiwanie stronicowane | Search, PageSize, SizeLimit, TimeLimit | Simple Paged Results są używane automatycznie, domyślnie 500 wpisów na stronę, a wpisy i referrale wracają na liście TsgcLDAPEntries. |
| Bezpieczne bindy | Bind, WhoAmI, LastResultCode, LastErrorMessage | DN z pustym hasłem jest odrzucany bez kontaktu z serwerem, zamykając lukę niezuwierzytelnionego bindu z RFC 4513. |
| Wątki | Każda metoda publiczna | Wywołania są serializowane, więc jedna instancja może obsłużyć żądania logowania wielowątkowego serwera HTTP lub WebSocket. |
TsgcSAMLServiceProvider zamienia aplikację webową Delphi w service providera SAML 2.0 dla Microsoft Entra ID, Okta, AD FS, Google Workspace, Keycloak i innych dostawców tożsamości.
| Możliwość | API | Uwagi |
|---|---|---|
| Tożsamość usługodawcy | EntityID, AssertionConsumerServiceURL | Entity ID oraz adres URL ACS, który odbiera odpowiedzi przesyłane przez przeglądarkę. |
| Metadane w obie strony | GetMetadata, LoadIdPMetadata | GetMetadata tworzy metadane SP do zarejestrowania u IdP. LoadIdPMetadata wypełnia IdPEntityID, IdPSSOURL, IdPSSOBinding i IdPCertificates. |
| Bindingi Redirect i POST | GetAuthnRequestRedirectURL, GetAuthnRequestPostForm | Adres URL HTTP-Redirect ze skompresowanym AuthnRequest, albo automatycznie wysyłany formularz HTTP-POST. |
| Podpisane żądania | SignAuthnRequests, SPCertificate, SPPrivateKey | Podpisuje AuthnRequest dla dostawców tożsamości, którzy tego wymagają. |
| Tylko zaufane klucze | IdPCertificates, AllowSHA1 | Podpisy są sprawdzane wyłącznie względem skonfigurowanych certyfikatów IdP, nigdy certyfikatu osadzonego w wiadomości. RSA-SHA256, RSA-SHA384 i RSA-SHA512 z kanonikalizacją wyłączną, SHA-1 tylko gdy dozwolone. |
| Ochrona przed signature wrapping | ProcessResponse | Odpowiedź musi zawierać dokładnie jedną asercję jako bezpośrednie dziecko, a podpis musi odnosić się do tego elementu. |
| Walidacja asercji | ClockSkew, MaxAssertionAge, AllowIdPInitiated | Walidowane są wydawca, odbiorca, miejsce docelowe, InResponseTo i okno ważności, z cache asercji chroniącym przed powtórzeniem. Logowanie inicjowane przez IdP pozostaje wyłączone, dopóki nie zostanie włączone. |
| Wynik | TsgcSAMLResult | NameID, NameIDFormat, SessionIndex, AuthnInstant, Attributes z przyjaznymi nazwami oraz czytelny ErrorMessage. |
TsgcHTTP_OIDC_Client implementuje OpenID Connect Core 1.0 na bazie klienta OAuth2, więc lokalne przekierowanie, tokeny odświeżania, DPoP, kod urządzenia, unieważnianie i introspekcja są dostępne od razu.
| Możliwość | API | Uwagi |
|---|---|---|
| Discovery | OIDCOptions.Issuer, Discover, DiscoveryDocument | Odczytuje konfigurację dostawcy i wypełnia adresy URL autoryzacji i tokenu, JWKSURI, UserInfoEndpoint i EndSessionEndpoint. |
| Logowanie | Start | Otwiera przeglądarkę i uruchamia przepływ Authorization Code przez lokalny serwer przekierowania klienta OAuth2. |
| PKCE i nonce | OIDCOptions.UsePKCE, Nonce | PKCE jest domyślnie włączone, a każde logowanie wysyła świeży nonce, który token ID musi zwrócić. |
| Walidacja tokenu ID | IDToken, IDTokenClaims, IDTokenValid, OnOIDCIDToken | Sprawdzane są podpis, wydawca, odbiorca, wygaśnięcie z ClockSkew oraz nonce. Akceptowane są wyłącznie RS256, RS384, RS512, ES256 i ES384, none i algorytmy HS są zawsze odrzucane. |
| Rotacja kluczy | TsgcOIDCJWKS, RefetchInterval | Bezpieczny wątkowo cache kluczy podpisujących dostawcy. Nieznany identyfikator klucza wywołuje nowe pobranie, więc rotacja kluczy nie wymaga restartu. |
| Walidacja po stronie serwera | sgcOIDC_ValidateIDToken, OIDCOptions.AllowedTenants | Waliduje tokeny bearer otrzymywane przez Twoje API REST lub serwer WebSocket względem tego samego cache kluczy, i ogranicza wielodzierżawcze aplikacje Entra ID do akceptowanych organizacji. |
| Userinfo | GetUserInfo | Zwraca JSON profilu zalogowanego użytkownika. |
TsgcMailOAuth2 uzyskuje i odświeża tokeny, których Microsoft 365 i Gmail oczekują dla poczty, i zamienia je na ciągi SASL XOAUTH2 i OAUTHBEARER (RFC 7628), które wysyła Twój klient pocztowy.
| Możliwość | API | Uwagi |
|---|---|---|
| Gotowe ustawienia dostawców | Provider, TenantId, ClientId | mopMicrosoft365 lub mopGmail z właściwymi endpointami. mopCustom przyjmuje CustomAuthURL, CustomTokenURL, CustomDeviceAuthorizationURL i CustomScope. |
| Zakresy z protokołów | Protocols, GetScope | Dowolna kombinacja mpSMTP, mpIMAP i mpPOP3 żąda odpowiednich zakresów, z offline_access w Microsoft 365. |
| Przeglądarka lub kod urządzenia | Flow, LocalServerOptions, OnDeviceCode | mofAuthorizationCodePKCE otwiera przeglądarkę z przekierowaniem loopback, mofDeviceCode pasuje do usług i konsol. |
| Cykl życia tokenu | Start, Refresh, AccessToken, RefreshToken, ExpiresAt, OnTokensChanged | Refresh odświeża token dostępu synchronicznie, a OnTokensChanged uruchamia się za każdym razem, więc możesz zapisać nowy token odświeżania. |
| Ciągi SASL | GetXOAuth2, GetOAuthBearer | Początkowe odpowiedzi Base64 dla AUTH XOAUTH2 i AUTH OAUTHBEARER. Warianty Raw i funkcje sgcGetXOAuth2 pomagają przy debugowaniu i innych źródłach tokenów. |
| Niezależność od transportu | HTTPClientOptions | Komponent nigdy nie otwiera połączenia pocztowego. Użyj Indy TIdSMTP, TIdIMAP4 lub TIdPOP3, lub dowolnej biblioteki pocztowej potrafiącej wysłać surowe polecenie SASL. |
Specyfikacje standardowe i te same źródła we wszystkich obsługiwanych kompilatorach.
| Obszar | Szczegóły |
|---|---|
| Standardy OAuth2 | OAuth 2.0 (RFC 6749), PKCE (RFC 7636), Device Authorization Grant (RFC 8628), Token Revocation (RFC 7009), Token Introspection (RFC 7662), DPoP (RFC 9449). |
| Standardy JWT | JSON Web Token (RFC 7519), JSON Web Signature (RFC 7515), JSON Web Encryption (RFC 7516), ML-DSA dla JOSE (RFC 9964). |
| Standard WebAuthn | Web Authentication Level 2 (W3C), przez serwer WebAuthn sgcWebSockets. |
| Standardy tożsamości | TOTP (RFC 6238), HOTP (RFC 4226), LDAP v3 (RFC 4511), SAML 2.0 (OASIS), OpenID Connect Core 1.0, SASL OAUTHBEARER (RFC 7628) i XOAUTH2. |
| Platformy | Oba klienty to zwykłe HTTPS i lokalne podpisywanie, więc każda platforma Delphi jest objęta: Windows Win32/Win64, Linux 64-bit, macOS, iOS i Android. |
| Kompilatory | Delphi i C++ Builder od 7 do 13. |
| Edycje | Klient OAuth2 i klient JWT są dostarczane także wewnątrz sgcWebSockets od edycji Standard wzwyż, komponenty WebAuthn, TOTP, LDAP, SAML, OpenID Connect i Mail OAuth2 w edycji Enterprise, a All-Access zawiera wszystko. |
| Licencjonowanie | Produkt samodzielny. Środowisko uruchomieniowe sgcWebSockets Core jest dołączone, a pełny kod źródłowy jest w zestawie. |