Bảo mật WOPI

# Cấp access_token: ngẫu nhiên, gắn với đúng một tệp, một người dùng, một quyền, và có hạn
import secrets
import time

TOKENS = {}


def issue_token(file_id: str, user_id: str, can_write: bool, hours: int = 8) -> tuple[str, int]:
    token = secrets.token_urlsafe(32)                       # 256 bit ngẫu nhiên
    ttl_ms = int((time.time() + hours * 3600) * 1000)       # access_token_ttl: mili giây Unix
    TOKENS[token] = {"file": file_id, "user": user_id, "write": can_write, "exp_ms": ttl_ms}
    return token, ttl_ms


def check_token(token: str, file_id: str, need_write: bool = False) -> dict | None:
    g = TOKENS.get(token)
    if not g or g["file"] != file_id or g["exp_ms"] < time.time() * 1000:
        return None                                          # trả 401 cho máy chủ soạn thảo
    if need_write and not g["write"]:
        return None
    return g

# Máy chủ soạn thảo gửi access_token trên chuỗi truy vấn. Đừng ghi chuỗi truy vấn của /wopi/ vào nhật ký.
log_format wopi_safe '$remote_addr [$time_local] "$request_method $uri" $status $body_bytes_sent';

location /wopi/ {
    access_log /var/log/nginx/wopi.log wopi_safe;
    allow 10.20.0.15;      # IP của máy chủ soạn thảo
    deny all;
    proxy_pass http://127.0.0.1:5000;
}

# online/.env — các khoá liên quan tới WOPI khi chạy thật
O3O_ONLINE_ALIASGROUP1=http://o3o-gate:8070                  # luôn là gate, không đổi
O3O_ONLINE_ALIASGROUP2=https://cloud.example.com             # WOPI host được phép; bí danh thêm sau dấu phẩy là biểu thức chính quy
O3O_WOPI_ALLOWED_HOSTS=https://cloud.example.com             # gate chỉ gọi CheckFileInfo tới đây
O3O_ONLINE_SSL_TERMINATION=true
O3O_ONLINE_FRAME_ANCESTORS=https://cloud.example.com
O3O_COOLWSD_ADMIN_PASSWORD=<chuỗi ngẫu nhiên 32 ký tự>

# Kiểm từ bên ngoài: các đường quản trị và WOPI nội bộ phải trả 404, kể cả dạng có dấu / cuối
# curl -s -o /dev/null --path-as-is -w "%{http_code}\n" https://office.example.com/cool/adminws
# curl -s -o /dev/null --path-as-is -w "%{http_code}\n" https://office.example.com/cool/adminws/
# curl -s -o /dev/null --path-as-is -w "%{http_code}\n" https://office.example.com/cool/getMetrics/
# curl -s -o /dev/null --path-as-is -w "%{http_code}\n" https://office.example.com/o3o/wopi/files/x

# Đếm phần tử proof-key trong discovery. v1 trả 0: máy chủ soạn thảo chưa được cấp khoá proof.
curl -s http://localhost:8080/hosting/discovery | grep -c "proof-key"