Inna
6e4a123dde
El token se generaba con `randomBytes(4).toString('base64url').slice(0, 6)`,
portado tal cual del Django original (`secrets.token_urlsafe(4)[:6]`), y tenía
dos taras para un código que se lee y se teclea desde un correo:
- Metía `-` y `_`.
- 4 bytes son 32 bits, pero 6 caracteres base64 codifican 36: al último solo
le llegaban 2 bits reales, así que SIEMPRE terminaba en A, Q, g o w
(comprobado sobre 20.000 tokens: 4 valores distintos en esa posición).
Ahora son 6 letras A-Z/a-z uniformes, con muestreo por rechazo porque 256 no es
múltiplo de 52 y `byte % 52` favorecería a las primeras letras. Verificado con
300.000 tokens: todos casan /^[A-Za-z]{6}$/, las 52 letras aparecen en la última
posición y la desviación por letra se queda en el 1,4% (ruido).
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
93 lines
3.8 KiB
TypeScript
93 lines
3.8 KiB
TypeScript
import crypto from 'node:crypto'
|
|
import type { RowDataPacket } from 'mysql2'
|
|
import { db, DB } from './db'
|
|
import { sendMail } from './mail'
|
|
import { securityTokenEmailHtml } from './emails'
|
|
import type { SessionData } from './session'
|
|
|
|
export interface Result {
|
|
success: boolean
|
|
error?: string
|
|
tokenDate?: string
|
|
}
|
|
|
|
/** Letras A-Z y a-z, sin dígitos: el formato del token es `uRlPBR`. */
|
|
const TOKEN_ALPHABET = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz'
|
|
const TOKEN_LENGTH = 6
|
|
|
|
/**
|
|
* Genera el token de seguridad: 6 letras al azar.
|
|
*
|
|
* Antes era `randomBytes(4).toString('base64url').slice(0, 6)`, portado tal cual
|
|
* del Django original (`secrets.token_urlsafe(4)[:6]`). Tenía dos taras: metía
|
|
* `-` y `_` en un código que se lee y se teclea desde un correo, y sobre todo 4
|
|
* bytes son 32 bits mientras que 6 caracteres base64 codifican 36 → al último
|
|
* carácter solo le llegaban 2 bits reales y SIEMPRE salía `A`, `Q`, `g` o `w`.
|
|
*
|
|
* Muestreo por rechazo: 256 no es múltiplo de 52, así que `byte % 52` haría más
|
|
* probables las primeras letras del alfabeto. Descartando los bytes >= 208
|
|
* (52*4, el múltiplo de 52 más alto que cabe en un byte) el reparto es uniforme.
|
|
*/
|
|
function generateSecurityToken(): string {
|
|
const limit = 256 - (256 % TOKEN_ALPHABET.length)
|
|
let token = ''
|
|
while (token.length < TOKEN_LENGTH) {
|
|
for (const byte of crypto.randomBytes(TOKEN_LENGTH)) {
|
|
if (byte >= limit) continue
|
|
token += TOKEN_ALPHABET[byte % TOKEN_ALPHABET.length]
|
|
if (token.length === TOKEN_LENGTH) break
|
|
}
|
|
}
|
|
return token
|
|
}
|
|
|
|
/** Solicita un token de seguridad (6 letras) por email. 1 cada 7 días. */
|
|
export async function requestSecurityToken(session: SessionData, ip: string): Promise<Result> {
|
|
const userId = session.accountId ?? 0
|
|
const email = session.bnetEmail ?? ''
|
|
if (!email) return { success: false, error: 'noEmail' }
|
|
|
|
const [existing] = await db(DB.default).query<RowDataPacket[]>(
|
|
'SELECT id, created_at FROM securitytoken WHERE user_id = ? ORDER BY created_at DESC LIMIT 1',
|
|
[userId],
|
|
)
|
|
if (existing[0]) {
|
|
const days = (Date.now() - new Date(existing[0].created_at).getTime()) / 86400_000
|
|
if (days < 7) return { success: false, error: 'cooldown' }
|
|
}
|
|
|
|
const token = generateSecurityToken()
|
|
const expiresAt = new Date(Date.now() + 7 * 86400_000)
|
|
|
|
await db(DB.default).query('DELETE FROM securitytoken WHERE user_id = ?', [userId])
|
|
await db(DB.default).query(
|
|
'INSERT INTO securitytoken (token, created_at, expires_at, ip_address, user_id) VALUES (?, NOW(), ?, ?, ?)',
|
|
[token, expiresAt, ip || '0.0.0.0', userId],
|
|
)
|
|
|
|
// La cuenta es el correo: con Battle.net se entra con él, no con un usuario.
|
|
await sendMail(email, 'Token de seguridad - NightSpire', securityTokenEmailHtml(email, token, ip || '0.0.0.0'))
|
|
|
|
const [created] = await db(DB.default).query<RowDataPacket[]>(
|
|
'SELECT created_at FROM securitytoken WHERE user_id = ? ORDER BY created_at DESC LIMIT 1',
|
|
[userId],
|
|
)
|
|
return { success: true, tokenDate: created[0] ? new Date(created[0].created_at).toISOString() : undefined }
|
|
}
|
|
|
|
/**
|
|
* Comprueba que el token coincide con el de la cuenta y NO ha caducado.
|
|
*
|
|
* La caducidad se evalúa en SQL (`expires_at > NOW()`) a propósito: `expires_at`
|
|
* se inserta como Date de JS y se guarda en la zona horaria del servidor, así que
|
|
* compararlo aquí contra `Date.now()` dependería de que Node y MySQL coincidan.
|
|
* Comparando dentro de MySQL, ambos lados son hora del servidor.
|
|
*/
|
|
export async function checkSecurityToken(userId: number, token: string): Promise<boolean> {
|
|
const [rows] = await db(DB.default).query<RowDataPacket[]>(
|
|
'SELECT token, expires_at > NOW() AS valid FROM securitytoken WHERE user_id = ? ORDER BY created_at DESC LIMIT 1',
|
|
[userId],
|
|
)
|
|
return Boolean(rows[0] && rows[0].token === token && rows[0].valid)
|
|
}
|