Biblioteca autenticacao.php

Caminho no Gestor bibliotecas/autenticacao.php

Quatro assuntos: o token JWT com RSA que o Gestor usa no cookie de login e na API, cifrar e decifrar valores com as chaves RSA do site, o controle de tentativas por IP e as credenciais do canal distribuído. As chaves ficam em autenticacoes/<dominio>/chaves/gestor/ (privada.key, protegida por OPENSSL_PASSWORD, e publica.key), veja variáveis globais.

O token RSA

Não é um JWT padrão (RS256): o cabeçalho diz "alg": "RSA", e a "assinatura" é o próprio cabeçalho.payload cifrado com a chave privada (openssl_private_encrypt, em blocos de 245 bytes, cada bloco em base64 e o conjunto de novo em base64). Validar é decifrar com a chave pública e comparar com o cabeçalho.payload recebido.

• autenticacao_gerar_jwt_chave_privada(['host', 'expiration', 'pubID', 'chavePrivada', 'chavePrivadaSenha', 'payload' => opcional]) gera o token. Sem payload, usa {iss: host, exp: expiration, sub: pubID}. Emite os tokens da API; o cookie de login usa o mesmo formato, gerado por usuario_gerar_token_autorizacao() (usuario.php) e validado por gestor_permissao_validar_jwt().

• autenticacao_validar_jwt_chave_publica(['token', 'chavePublica', 'retornarPayloadCompleto']) confere a assinatura, exige exp e sub e recusa token vencido. Devolve o sub (o pubID), o payload inteiro ou false.

Validar o token é só o primeiro passo: gestor_permissao_token() ainda confere o pubID em usuarios_tokens com o HMAC de USUARIO_HASH_PASSWORD (ciclo de uma requisição).

As variantes invertidas autenticacao_gerar_jwt_chave_publica() e autenticacao_validar_jwt_chave_privada(), e autenticacao_cliente_gerar_jwt() / autenticacao_cliente_gerar_token_validacao() (do modo multi-host), não têm chamadores.

Cifrar segredos

O primeiro par é o usado para guardar chaves de API (servidores de IA): esconde o valor de quem só vê o banco, mas quem tem o banco e a chave pública o recupera. Para sigilo de verdade, cifre com a pública e decifre com a privada.

autenticacao_openssl_gerar_chaves() gera um par RSA de 2048 bits; autenticacao_gerar_senha() e autenticacao_crypto_rand_secure() geram senhas e números aleatórios. As três não têm chamadores no core (o instalador tem o próprio gerador de chaves).

Controle de tentativas por IP

A tabela acessos guarda, por IP (de ip_get()) e tipo (login, signup, forgot-password), a contagem, o status e o bloqueio.

Limites do .env: no login, até ACESSOS_MAXIMO_LOGINS_SIMPLES (3) falhas o status é livre, até ACESSOS_MAXIMO_FALHAS_LOGINS (10) é antispam, e depois bloqueado. Nos cadastros, ACESSOS_MAXIMO_CADASTROS_* e ACESSOS_MAXIMO_CADASTROS_SIMPLES_* por tipo. Cada bloqueio dura bloqueios × ACESSOS_TEMPO_BLOQUEIO_IP segundos (cresce a cada reincidência), e o registro some depois de ACESSOS_TEMPO_DESBLOQUEIO_IP sem atividade. autenticacao_acessos_limpeza() roda a cada verificação e aplica essas duas regras.

No perfil-usuario, o status decide o CAPTCHA: com reCAPTCHA, ele só é exigido a partir de antispam; com Turnstile, sempre.

Canal distribuído

Usadas pelo central da arquitetura distribuída:

• autenticacao_distribuido_gerar_tokens($id_usuarios): tokens OAuth2 com escopo distributed;

• autenticacao_distribuido_verificar_permissao_modulo(): o perfil do usuário tem o módulo alvo;

• autenticacao_distribuido_token_ativo(): o access token do canal é válido.

A validação de credenciais do canal não passa pelo controle de tentativas.

Funções

autenticacao_crypto_rand_secure(int $min, int $max): int

autenticacao_cliente_gerar_jwt(array|false $params = false): string|false

autenticacao_openssl_gerar_chaves(array|false $params = false): array|false

autenticacao_gerar_senha(int $length = 32): string

autenticacao_gerar_jwt_chave_publica(array|false $params = false): string|false

autenticacao_gerar_jwt_chave_privada(array|false $params = false): string|false

autenticacao_validar_jwt_chave_publica(array|false $params = false): array|string|false

autenticacao_validar_jwt_chave_privada(array|false $params = false): array|false

autenticacao_cliente_gerar_token_validacao(array|false $params = false): array

autenticacao_acesso_verificar(array|false $params = false): array

autenticacao_acesso_cadastrar(array|false $params = false): void

autenticacao_acesso_confirmar(array|false $params = false): void

autenticacao_acesso_falha(array|false $params = false): void

autenticacao_acessos_limpeza(array|false $params = false): void

autenticacao_encriptar_chave_publica(array|false $params = false): string|false

autenticacao_encriptar_chave_privada(array|false $params = false): string|false

autenticacao_decriptar_chave_publica(array|false $params = false): string|false

autenticacao_decriptar_chave_privada(array|false $params = false): string|false

autenticacao_distribuido_gerar_tokens(int $id_usuarios): array|false

autenticacao_distribuido_verificar_permissao_modulo(int $id_usuarios, string $modulo): bool

autenticacao_distribuido_token_ativo(string $token): bool