Playground : Standard SSO Callback Logic

Environnement de test interactif avec aperçu en temps réel.

Code du Template (HTML / PHP) logic

Variables Mock (JSON)

Identité de Marque (Brand Tokens)

Aperçu Live

<?php
/**
 * 🔒 VROOM STANDARD SSO TEMPLATE
 * 
 * Ce fichier est le template standardisé (issu du projet Tambour) pour intégrer 
 * le SSO Keycloak (OIDC) sur n'importe quel site de l'écosystème Vroom (php-solo).
 * 
 * Il gère :
 * - Le callback OAuth2 (code -> token)
 * - La validation du JWT (KeycloakBridge)
 * - L'auto-provisioning de l'utilisateur dans la base locale (SQLite/MySQL)
 * - Le forçage du rôle Super Admin (`creator`) pour l'utilisateur SSO
 * 
 * PRÉREQUIS :
 * 1. Le projet doit avoir un client Keycloak configuré dans le realm 'arclight'.
 * 2. Nginx doit avoir la directive `fastcgi_param HTTPS $site_https if_not_empty;` 
 *    pour éviter les erreurs "Invalid redirect_uri" à travers le proxy Vroom.
 * 3. Assurez-vous d'avoir accès à `/data/shared/keycloak/KeycloakBridge.php` (qui est
 *    monté globalement via les volumes Vroom).
 */

session_start();

// 1. Initialiser la connexion DB locale
// À ADAPTER selon votre projet (SQLite, PDO MySQL, etc.)
// require __DIR__ . '/../db.php';

// 2. Charger le bridge SSO global Arclight
$bridgePath = '/data/shared/keycloak/KeycloakBridge.php';
if (!file_exists($bridgePath)) {
    // Fallback pour le dev local sous Windows si nécessaire
    $bridgePath = 'c:/workspace/projets/vroom/sites/data/shared/keycloak/KeycloakBridge.php';
}

if (!file_exists($bridgePath)) {
    die("Erreur critique : KeycloakBridge introuvable. Vérifiez les volumes Vroom.");
}
require_once $bridgePath;

// 3. Configuration du Client (À ADAPTER pour chaque projet)
$config = [
    'client_id' => 'NOM_DU_CLIENT_KEYCLOAK', // ex: 'tambour', 'lupin', 'city'
    'client_secret' => 'SECRET_DU_CLIENT',    // Généré par Keycloak
    'realm' => 'arclight',                    // Realm par défaut
    // Le redirect URI doit pointer sur ce fichier-même
    'redirect_uri' => 'https://' . $_SERVER['HTTP_HOST'] . '/sso', 
];

// 4. Initialisation du Bridge
$kc = new KeycloakBridge($config);

// 5. Exécution du workflow SSO
try {
    // Si l'utilisateur arrive sans code, il sera redirigé vers Keycloak.
    // S'il revient avec un code, kc_try_bridge_session l'échangera contre un token
    // et peuplera $_SESSION['kc_access_token'] et $_SESSION['kc_id_token'].
    $kcUser = $kc->kc_try_bridge_session();
    
    if (!$kcUser) {
        // L'utilisateur n'est pas encore connecté (redirection en cours)
        exit;
    }

// --- ⬇️ L'UTILISATEUR EST AUTHENTIFIÉ PAR KEYCLOAK ⬇️ ---

// Récupération des infos OIDC standards
    $sub = $kcUser['sub'] ?? '';
    $email = $kcUser['email'] ?? '';
    $username = $kcUser['preferred_username'] ?? '';
    $displayName = trim(($kcUser['given_name'] ?? '') . ' ' . ($kcUser['family_name'] ?? '')) ?: $username;

// --- ⬇️ AUTO-PROVISIONING DANS LA BASE LOCALE ⬇️ ---
    // (À ADAPTER à la structure de votre base de données locale)
    
    /* EXEMPLE AVEC SQLITE/PDO :
    $stmt = $db->prepare("SELECT * FROM users WHERE kc_sub = ? OR username = ?");
    $stmt->execute([$sub, $username]);
    $localUser = $stmt->fetch(PDO::FETCH_ASSOC);

if (!$localUser) {
        // Création à la volée du compte s'il n'existe pas
        $colors = ['#e74c3c','#3498db','#2ecc71','#f1c40f','#9b59b6']; // Optionnel (pour avatars)
        $avatarColor = $colors[array_rand($colors)];
        
        $stmt = $db->prepare("INSERT INTO users (username, display_name, email, role, kc_sub, password_hash, is_active, avatar_color) 
                              VALUES (?, ?, ?, 'creator', ?, 'sso_managed', 1, ?)");
        $stmt->execute([$username, $displayName, $email, $sub, $avatarColor]);
        $localUserId = $db->lastInsertId();
    } else {
        // Mise à jour (forcer le sub, synchroniser le nom, et écraser le rôle en 'creator')
        $localUserId = $localUser['id'];
        $db->prepare("UPDATE users SET kc_sub = ?, role = 'creator', display_name = ?, last_login = datetime('now') WHERE id = ?")
           ->execute([$sub, $displayName, $localUserId]);
    }

// Peupler la session applicative locale avec les infos à jour
    $stmt = $db->prepare("SELECT * FROM users WHERE id = ?");
    $stmt->execute([$localUserId]);
    $finalUser = $stmt->fetch(PDO::FETCH_ASSOC);

$_SESSION['user'] = [
        'id' => (int)$finalUser['id'],
        'username' => $finalUser['username'],
        'display_name' => $finalUser['display_name'],
        'role' => $finalUser['role'],
        'avatar_color' => $finalUser['avatar_color'],
        'sso' => true,
    ];

// (Optionnel) Émettre un événement sur le bus Kundalini
    if (class_exists('Kundalini')) {
        Kundalini::emit('user_sso_login', [
            'username' => $username,
            'role' => $finalUser['role']
        ]);
    }
    */

// Redirection après succès de connexion
    // header('Location: /admin');
    exit;

} catch (Exception $e) {
    // Si une erreur survient (token expiré, erreur de décodage, etc.)
    // On détruit la session locale et on force une reconnexion
    session_destroy();
    
    // (Optionnel) Log de l'erreur
    error_log("SSO Error: " . $e->getMessage());

// Fallback URL (page de login locale)
    $loginUrl = '/login?error=sso_failed';
    echo "<div style='font-family:sans-serif; text-align:center; padding:50px;'>
            <h3>Erreur de connexion sécurisée</h3>
            <p>" . htmlspecialchars($e->getMessage()) . "</p>
            <a href='" . htmlspecialchars($loginUrl) . "'>Retour à la connexion</a>
          </div>";
    exit;
}