app/controllers/api_controller.rb

   1 class ApiController < ApplicationController
   2   skip_before_action :verify_authenticity_token
   3
   4   private
   5
   6   def authorize(realm = "Web Password", errormessage = "Couldn't authenticate you")
   7     # make the current_user object from any auth sources we have
   8     setup_user_auth
   9
  10     # handle authenticate pass/fail
  11     unless current_user
  12       # no auth, the user does not exist or the password was wrong
  13       response.headers["WWW-Authenticate"] = "Basic realm=\"#{realm}\""
  14       render :plain => errormessage, :status => :unauthorized
  15       return false
  16     end
  17   end
  18
  19   def current_ability
  20     # Use capabilities from the oauth token if it exists and is a valid access token
  21     if Authenticator.new(self, [:token]).allow?
  22       ApiAbility.new(nil).merge(ApiCapability.new(current_token))
  23     else
  24       ApiAbility.new(current_user)
  25     end
  26   end
  27
  28   def deny_access(_exception)
  29     if current_token
  30       set_locale
  31       report_error t("oauth.permissions.missing"), :forbidden
  32     elsif current_user
  33       head :forbidden
  34     else
  35       realm = "Web Password"
  36       errormessage = "Couldn't authenticate you"
  37       response.headers["WWW-Authenticate"] = "Basic realm=\"#{realm}\""
  38       render :plain => errormessage, :status => :unauthorized
  39     end
  40   end
  41
  42   def gpx_status
  43     status = database_status
  44     status = "offline" if status == "online" && Settings.status == "gpx_offline"
  45     status
  46   end
  47
  48   ##
  49   # sets up the current_user for use by other methods. this is mostly called
  50   # from the authorize method, but can be called elsewhere if authorisation
  51   # is optional.
  52   def setup_user_auth
  53     # try and setup using OAuth
  54     unless Authenticator.new(self, [:token]).allow?
  55       username, passwd = get_auth_data # parse from headers
  56       # authenticate per-scheme
  57       self.current_user = if username.nil?
  58                             nil # no authentication provided - perhaps first connect (client should retry after 401)
  59                           elsif username == "token"
  60                             User.authenticate(:token => passwd) # preferred - random token for user from db, passed in basic auth
  61                           else
  62                             User.authenticate(:username => username, :password => passwd) # basic auth
  63                           end
  64     end
  65
  66     # have we identified the user?
  67     if current_user
  68       # check if the user has been banned
  69       user_block = current_user.blocks.active.take
  70       unless user_block.nil?
  71         set_locale
  72         if user_block.zero_hour?
  73           report_error t("application.setup_user_auth.blocked_zero_hour"), :forbidden
  74         else
  75           report_error t("application.setup_user_auth.blocked"), :forbidden
  76         end
  77       end
  78
  79       # if the user hasn't seen the contributor terms then don't
  80       # allow editing - they have to go to the web site and see
  81       # (but can decline) the CTs to continue.
  82       if !current_user.terms_seen && flash[:skip_terms].nil?
  83         set_locale
  84         report_error t("application.setup_user_auth.need_to_see_terms"), :forbidden
  85       end
  86     end
  87   end
  88 end