Auth JWT

Este módulo requiere que esté instalada la librería pyjwt.

Este módulo permite a los desarrolladores añadir un nuevo método de autenticación jwt en las rutas de los controladores de Odoo.

Para usarlo, debe:

• Crear un registro auth.jwt.validator para configurar cómo se validará el token JWT.
• Añadir un atributo auth="jwt_{validator-name}" o auth="public_or_jwt_{validator-name}" a las rutas que desea proteger, donde {validator-name} corresponde al atributo name del registro del validador JWT.

El módulo auth_jwt_demo proporciona ejemplos.

El validador JWT se puede configurar con las siguientes propiedades:

• name: el nombre del validador, para que coincida con la propiedad de ruta auth="jwt_{validator-name}".
• audience: una lista separada por comas de audiencias permitidas, utilizada para validar la reclamación aud.
• issuer: se utiliza para validar la reclamación iss.
• El tipo de firma (secreto o clave pública), el algoritmo, el secreto y el JWK URI se utilizan para validar la firma del token.

Además, se valida la reclamación exp para rechazar los tokens caducados.

Si falta la cabecera HTTP Authorization, está mal formada o contiene un token no válido, la solicitud se rechaza con un código 401 (Unauthorized), a menos que el modo cookie esté habilitado (véase más abajo).

Si el token es válido, la solicitud se ejecuta con el id de usuario configurado. Por defecto, la estrategia de selección del id de usuario es static (es decir, la misma para todas las solicitudes) y el usuario seleccionado se configura en el validador JWT. Se pueden proporcionar estrategias adicionales sobrescribiendo el método _get_uid() y ampliando el campo de selección user_id_strategy.

El usuario seleccionado no se almacena en la sesión. Solo está disponible en request.uid (y, por tanto, es el que se utiliza en request.env). Para evitar cualquier confusión y desajuste entre el bearer token y la sesión, este módulo rechaza las solicitudes realizadas con una sesión de usuario autenticado.

Además, si se configura un partner_id_strategy, se busca un partner y, si se encuentra, su id se almacena en el atributo request.jwt_partner_id. Si partner_id_required está establecido, se devuelve un 401 (Unauthorized) si no se encontró ningún partner. De lo contrario, request.jwt_partner_id queda como falsy. Se pueden proporcionar estrategias adicionales sobrescribiendo el método _get_partner_id() y ampliando el campo de selección partner_id_strategy.

El payload JWT decodificado se almacena en request.jwt_payload.

El método public_auth_jwt delega la autenticación al método estándar public de Odoo cuando la cabecera Authorization no está establecida. Si está establecida, se realiza la autenticación JWT normal tal como se describe arriba. Este método es útil para endpoints públicos que necesitan funcionar para usuarios anónimos, pero que pueden mejorarse cuando se conoce un usuario autenticado. Un caso de uso típico es un endpoint de "add to cart" que puede funcionar para usuarios anónimos, pero que puede mejorarse vinculando el carrito a un cliente conocido cuando se conoce el usuario autenticado.

Puede habilitar un modo cookie en los validadores JWT. En este caso, el payload JWT obtenido de la cabecera Authorization se devuelve como una cookie Http-Only. Este modo es a veces más sencillo para aplicaciones front-end que entonces no necesitan almacenar y proteger el token JWT entre solicitudes y pueden simplemente confiar en los mecanismos de gestión de cookies de los navegadores. Cuando se proporcionan tanto la cabecera Authorization como una cookie, la cookie se ignora para permitir que los clientes se autentiquen con un usuario diferente proporcionando un nuevo token JWT.