test/integration/oauth_test.rb

   1 require "test_helper"
   2
   3 class OAuthTest < ActionDispatch::IntegrationTest
   4   include OAuth::Helper
   5
   6   def test_oauth10_web_app
   7     client = create(:client_application, :callback_url => "http://some.web.app.example.org/callback", :allow_read_prefs => true, :allow_write_api => true, :allow_read_gpx => true)
   8     user = create(:user)
   9
  10     session_for(user)
  11
  12     oauth10_without_callback(client)
  13     oauth10_with_callback(client, "http://another.web.app.example.org/callback")
  14     oauth10_refused(client)
  15   end
  16
  17   def test_oauth10_desktop_app
  18     client = create(:client_application, :allow_read_prefs => true, :allow_write_api => true, :allow_read_gpx => true)
  19     user = create(:user)
  20
  21     session_for(user)
  22
  23     oauth10_without_callback(client)
  24     oauth10_refused(client)
  25   end
  26
  27   def test_oauth10a_web_app
  28     client = create(:client_application, :callback_url => "http://some.web.app.example.org/callback", :allow_read_prefs => true, :allow_write_api => true, :allow_read_gpx => true)
  29     user = create(:user)
  30
  31     session_for(user)
  32
  33     oauth10a_without_callback(client)
  34     oauth10a_with_callback(client, "http://another.web.app.example.org/callback")
  35     oauth10a_refused(client)
  36   end
  37
  38   def test_oauth10a_desktop_app
  39     client = create(:client_application, :allow_read_prefs => true, :allow_write_api => true, :allow_read_gpx => true)
  40     user = create(:user)
  41
  42     session_for(user)
  43
  44     oauth10a_without_callback(client)
  45     oauth10a_refused(client)
  46   end
  47
  48   private
  49
  50   def oauth10_without_callback(client)
  51     token = get_request_token(client)
  52
  53     get "/oauth/authorize", :params => { :oauth_token => token.token }
  54     assert_response :success
  55     assert_template :authorize
  56
  57     post "/oauth/authorize",
  58          :params => { :oauth_token => token.token,
  59                       :allow_read_prefs => "1", :allow_write_prefs => "1" }
  60     if client.callback_url
  61       assert_response :redirect
  62       assert_redirected_to "#{client.callback_url}?oauth_token=#{token.token}"
  63     else
  64       assert_response :success
  65       assert_template :authorize_success
  66     end
  67     token.reload
  68     assert_not_nil token.created_at
  69     assert_not_nil token.authorized_at
  70     assert_nil token.invalidated_at
  71     assert_allowed token, [:allow_read_prefs]
  72
  73     signed_get "/oauth/access_token", :oauth => { :token => token }
  74     assert_response :success
  75     token.reload
  76     assert_not_nil token.created_at
  77     assert_not_nil token.authorized_at
  78     assert_not_nil token.invalidated_at
  79     token = parse_token(response)
  80     assert_instance_of AccessToken, token
  81     assert_not_nil token.created_at
  82     assert_not_nil token.authorized_at
  83     assert_nil token.invalidated_at
  84     assert_allowed token, [:allow_read_prefs]
  85
  86     post logout_path
  87
  88     signed_get "/api/0.6/user/preferences", :oauth => { :token => token }
  89     assert_response :success
  90
  91     signed_get "/api/0.6/gpx/2", :oauth => { :token => token }
  92     assert_response :forbidden
  93
  94     token.user.suspend!
  95     signed_get "/api/0.6/user/preferences", :oauth => { :token => token }
  96     assert_response :forbidden
  97
  98     token.user.hide!
  99     signed_get "/api/0.6/user/preferences", :oauth => { :token => token }
 100     assert_response :forbidden
 101
 102     token.user.unhide!
 103     signed_get "/api/0.6/user/preferences", :oauth => { :token => token }
 104     assert_response :success
 105
 106     session_for(token.user)
 107
 108     post "/oauth/revoke", :params => { :token => token.token }
 109     assert_redirected_to oauth_clients_url(token.user.display_name)
 110     token = OauthToken.find_by(:token => token.token)
 111     assert_not_nil token.invalidated_at
 112
 113     signed_get "/api/0.6/user/preferences", :oauth => { :token => token }
 114     assert_response :unauthorized
 115   end
 116
 117   def oauth10_refused(client)
 118     token = get_request_token(client)
 119
 120     get "/oauth/authorize", :params => { :oauth_token => token.token }
 121     assert_response :success
 122     assert_template :authorize
 123
 124     post "/oauth/authorize", :params => { :oauth_token => token.token }
 125     assert_response :success
 126     assert_template :authorize_failure
 127     assert_select "p", "You have denied application #{client.name} access to your account."
 128     token.reload
 129     assert_nil token.authorized_at
 130     assert_not_nil token.invalidated_at
 131
 132     get "/oauth/authorize", :params => { :oauth_token => token.token }
 133     assert_response :success
 134     assert_template :authorize_failure
 135     assert_select "p", "The authorization token is not valid."
 136     token.reload
 137     assert_nil token.authorized_at
 138     assert_not_nil token.invalidated_at
 139
 140     post "/oauth/authorize", :params => { :oauth_token => token.token }
 141     assert_response :success
 142     assert_template :authorize_failure
 143     assert_select "p", "The authorization token is not valid."
 144     token.reload
 145     assert_nil token.authorized_at
 146     assert_not_nil token.invalidated_at
 147   end
 148
 149   def oauth10_with_callback(client, callback_url)
 150     token = get_request_token(client)
 151
 152     get "/oauth/authorize", :params => { :oauth_token => token.token }
 153     assert_response :success
 154     assert_template :authorize
 155
 156     post "/oauth/authorize",
 157          :params => { :oauth_token => token.token, :oauth_callback => callback_url,
 158                       :allow_write_api => "1", :allow_read_gpx => "1" }
 159     assert_response :redirect
 160     assert_redirected_to "#{callback_url}?oauth_token=#{token.token}"
 161     token.reload
 162     assert_not_nil token.created_at
 163     assert_not_nil token.authorized_at
 164     assert_nil token.invalidated_at
 165     assert_allowed token, [:allow_write_api, :allow_read_gpx]
 166
 167     signed_get "/oauth/access_token", :oauth => { :token => token }
 168     assert_response :success
 169     token.reload
 170     assert_not_nil token.created_at
 171     assert_not_nil token.authorized_at
 172     assert_not_nil token.invalidated_at
 173     token = parse_token(response)
 174     assert_instance_of AccessToken, token
 175     assert_not_nil token.created_at
 176     assert_not_nil token.authorized_at
 177     assert_nil token.invalidated_at
 178     assert_allowed token, [:allow_write_api, :allow_read_gpx]
 179
 180     post logout_path
 181
 182     trace = create(:trace, :user => token.user)
 183     signed_get "/api/0.6/gpx/#{trace.id}", :oauth => { :token => token }
 184     assert_response :success
 185
 186     signed_get "/api/0.6/user/details", :oauth => { :token => token }
 187     assert_response :forbidden
 188
 189     token.user.suspend!
 190     signed_get "/api/0.6/gpx/#{trace.id}", :oauth => { :token => token }
 191     assert_response :forbidden
 192
 193     token.user.hide!
 194     signed_get "/api/0.6/gpx/#{trace.id}", :oauth => { :token => token }
 195     assert_response :forbidden
 196
 197     token.user.unhide!
 198     signed_get "/api/0.6/gpx/#{trace.id}", :oauth => { :token => token }
 199     assert_response :success
 200
 201     session_for(token.user)
 202
 203     post "/oauth/revoke", :params => { :token => token.token }
 204     assert_redirected_to oauth_clients_url(token.user.display_name)
 205     token = OauthToken.find_by(:token => token.token)
 206     assert_not_nil token.invalidated_at
 207
 208     signed_get "/api/0.6/gpx/2", :oauth => { :token => token }
 209     assert_response :unauthorized
 210   end
 211
 212   def oauth10a_without_callback(client)
 213     token = get_request_token(client, :oauth_callback => "oob")
 214
 215     get "/oauth/authorize", :params => { :oauth_token => token.token }
 216     assert_response :success
 217     assert_template :authorize
 218
 219     post "/oauth/authorize",
 220          :params => { :oauth_token => token.token,
 221                       :allow_read_prefs => "1", :allow_write_prefs => "1" }
 222     if client.callback_url
 223       assert_response :redirect
 224       verifier = parse_verifier(response)
 225       assert_redirected_to "http://some.web.app.example.org/callback?oauth_token=#{token.token}&oauth_verifier=#{verifier}"
 226     else
 227       assert_response :success
 228       assert_template :authorize_success
 229       m = response.body.match("<p>The verification code is ([A-Za-z0-9]+).</p>")
 230       assert_not_nil m
 231       verifier = m[1]
 232     end
 233     token.reload
 234     assert_not_nil token.created_at
 235     assert_not_nil token.authorized_at
 236     assert_nil token.invalidated_at
 237     assert_allowed token, [:allow_read_prefs]
 238
 239     signed_get "/oauth/access_token", :oauth => { :token => token }
 240     assert_response :unauthorized
 241
 242     signed_get "/oauth/access_token", :oauth => { :token => token, :oauth_verifier => verifier }
 243     assert_response :success
 244     token.reload
 245     assert_not_nil token.created_at
 246     assert_not_nil token.authorized_at
 247     assert_not_nil token.invalidated_at
 248     token = parse_token(response)
 249     assert_instance_of AccessToken, token
 250     assert_not_nil token.created_at
 251     assert_not_nil token.authorized_at
 252     assert_nil token.invalidated_at
 253     assert_allowed token, [:allow_read_prefs]
 254
 255     post logout_path
 256
 257     signed_get "/api/0.6/user/preferences", :oauth => { :token => token }
 258     assert_response :success
 259
 260     trace = create(:trace, :user => token.user)
 261     signed_get "/api/0.6/gpx/#{trace.id}", :oauth => { :token => token }
 262     assert_response :forbidden
 263
 264     token.user.suspend!
 265     signed_get "/api/0.6/user/preferences", :oauth => { :token => token }
 266     assert_response :forbidden
 267
 268     token.user.hide!
 269     signed_get "/api/0.6/user/preferences", :oauth => { :token => token }
 270     assert_response :forbidden
 271
 272     token.user.unhide!
 273     signed_get "/api/0.6/user/preferences", :oauth => { :token => token }
 274     assert_response :success
 275
 276     session_for(token.user)
 277
 278     post "/oauth/revoke", :params => { :token => token.token }
 279     assert_redirected_to oauth_clients_url(token.user.display_name)
 280     token = OauthToken.find_by(:token => token.token)
 281     assert_not_nil token.invalidated_at
 282
 283     signed_get "/api/0.6/user/preferences", :oauth => { :token => token }
 284     assert_response :unauthorized
 285   end
 286
 287   def oauth10a_with_callback(client, callback_url)
 288     token = get_request_token(client, :oauth_callback => callback_url)
 289
 290     get "/oauth/authorize", :params => { :oauth_token => token.token }
 291     assert_response :success
 292     assert_template :authorize
 293
 294     post "/oauth/authorize",
 295          :params => { :oauth_token => token.token,
 296                       :allow_write_api => "1", :allow_read_gpx => "1" }
 297     assert_response :redirect
 298     verifier = parse_verifier(response)
 299     assert_redirected_to "#{callback_url}?oauth_token=#{token.token}&oauth_verifier=#{verifier}"
 300     token.reload
 301     assert_not_nil token.created_at
 302     assert_not_nil token.authorized_at
 303     assert_nil token.invalidated_at
 304     assert_allowed token, [:allow_write_api, :allow_read_gpx]
 305
 306     signed_get "/oauth/access_token", :oauth => { :token => token }
 307     assert_response :unauthorized
 308
 309     signed_get "/oauth/access_token", :oauth => { :token => token, :oauth_verifier => verifier }
 310     assert_response :success
 311     token.reload
 312     assert_not_nil token.created_at
 313     assert_not_nil token.authorized_at
 314     assert_not_nil token.invalidated_at
 315     token = parse_token(response)
 316     assert_instance_of AccessToken, token
 317     assert_not_nil token.created_at
 318     assert_not_nil token.authorized_at
 319     assert_nil token.invalidated_at
 320     assert_allowed token, [:allow_write_api, :allow_read_gpx]
 321
 322     post logout_path
 323
 324     trace = create(:trace, :user => token.user)
 325     signed_get "/api/0.6/gpx/#{trace.id}", :oauth => { :token => token }
 326     assert_response :success
 327
 328     signed_get "/api/0.6/user/details", :oauth => { :token => token }
 329     assert_response :forbidden
 330
 331     token.user.suspend!
 332     signed_get "/api/0.6/gpx/#{trace.id}", :oauth => { :token => token }
 333     assert_response :forbidden
 334
 335     token.user.hide!
 336     signed_get "/api/0.6/gpx/#{trace.id}", :oauth => { :token => token }
 337     assert_response :forbidden
 338
 339     token.user.unhide!
 340     signed_get "/api/0.6/gpx/#{trace.id}", :oauth => { :token => token }
 341     assert_response :success
 342
 343     session_for(token.user)
 344
 345     post "/oauth/revoke", :params => { :token => token.token }
 346     assert_redirected_to oauth_clients_url(token.user.display_name)
 347     token = OauthToken.find_by(:token => token.token)
 348     assert_not_nil token.invalidated_at
 349
 350     signed_get "/api/0.6/gpx/2", :oauth => { :token => token }
 351     assert_response :unauthorized
 352   end
 353
 354   def oauth10a_refused(client)
 355     token = get_request_token(client, :oauth_callback => "oob")
 356
 357     get "/oauth/authorize", :params => { :oauth_token => token.token }
 358     assert_response :success
 359     assert_template :authorize
 360
 361     post "/oauth/authorize", :params => { :oauth_token => token.token }
 362     assert_response :success
 363     assert_template :authorize_failure
 364     assert_select "p", "You have denied application #{client.name} access to your account."
 365     token.reload
 366     assert_nil token.authorized_at
 367     assert_not_nil token.invalidated_at
 368
 369     get "/oauth/authorize", :params => { :oauth_token => token.token }
 370     assert_response :success
 371     assert_template :authorize_failure
 372     assert_select "p", "The authorization token is not valid."
 373     token.reload
 374     assert_nil token.authorized_at
 375     assert_not_nil token.invalidated_at
 376
 377     post "/oauth/authorize", :params => { :oauth_token => token.token }
 378     assert_response :success
 379     assert_template :authorize_failure
 380     assert_select "p", "The authorization token is not valid."
 381     token.reload
 382     assert_nil token.authorized_at
 383     assert_not_nil token.invalidated_at
 384   end
 385
 386   def get_request_token(client, options = {})
 387     signed_get "/oauth/request_token", :oauth => options.merge(:consumer => client)
 388     assert_response :success
 389     token = parse_token(response)
 390     assert_instance_of RequestToken, token
 391     assert_not_nil token.created_at
 392     assert_nil token.authorized_at
 393     assert_nil token.invalidated_at
 394     assert_equal_allowing_nil options[:oauth_callback], token.callback_url
 395     assert_allowed token, client.permissions
 396
 397     token
 398   end
 399
 400   def parse_token(response)
 401     params = CGI.parse(response.body)
 402
 403     token = OauthToken.find_by(:token => params["oauth_token"].first)
 404     assert_equal token.secret, params["oauth_token_secret"].first
 405
 406     token
 407   end
 408
 409   def parse_verifier(response)
 410     params = CGI.parse(URI.parse(response.location).query)
 411
 412     assert_not_nil params["oauth_verifier"]
 413     assert_predicate params["oauth_verifier"].first, :present?
 414
 415     params["oauth_verifier"].first
 416   end
 417
 418   def assert_allowed(token, allowed)
 419     ClientApplication.all_permissions.each do |p|
 420       assert_equal allowed.include?(p), token.attributes[p.to_s]
 421     end
 422   end
 423 end