Xác thực: khoá API và JWT

# Sinh một khoá ngẫu nhiên 52 ký tự
echo "o3o_$(openssl rand -hex 24)"

# online/.env: nhiều khoá, mỗi ứng dụng một khoá
O3O_DOCBUILDER_API_KEYS=crm:o3o_9f2c61d04b7e3a58c1d2e9f0a7b6c5d4e3f2a1b0c9d8e7f6,ketoan:o3o_1a2b3c4d5e6f708192a3b4c5d6e7f8091a2b3c4d5e6f7081

# Nạp lại cấu hình (chạy trong thư mục online/)
docker compose --env-file .env -f docker/compose.dev.yml up -d o3o-docbuilder

curl -s http://localhost:8080/v1/limits \
  -H "Authorization: Bearer O3O_DEMO_KEY"

// Node.js 18+ (tệp .mjs hoặc "type": "module")
const res = await fetch("http://localhost:8080/v1/limits", {
  headers: { Authorization: "Bearer O3O_DEMO_KEY" }
});
console.log(res.status, await res.json());

# pip install requests
import requests

r = requests.get(
    "http://localhost:8080/v1/limits",
    headers={"Authorization": "Bearer O3O_DEMO_KEY"},
    timeout=30,
)
print(r.status_code, r.json())

<?php
$ch = curl_init('http://localhost:8080/v1/limits');
curl_setopt_array($ch, [
    CURLOPT_HTTPHEADER => ['Authorization: Bearer O3O_DEMO_KEY'],
    CURLOPT_RETURNTRANSFER => true,
]);
$body = curl_exec($ch);
$status = curl_getinfo($ch, CURLINFO_RESPONSE_CODE);
curl_close($ch);
echo $status, ' ', $body, PHP_EOL;

using System.Net.Http.Headers;

using var http = new HttpClient();
http.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", "O3O_DEMO_KEY");
var res = await http.GetAsync("http://localhost:8080/v1/limits");
Console.WriteLine($"{(int)res.StatusCode} {await res.Content.ReadAsStringAsync()}");

# Ký bằng bất kỳ cách nào ở các thẻ bên cạnh rồi gửi trong header
TOKEN="$(python3 sign_docbuilder_jwt.py)"
curl -s http://localhost:8080/v1/limits \
  -H "Authorization: Bearer $TOKEN"

// npm install jsonwebtoken   (tệp .mjs hoặc "type": "module")
import jwt from "jsonwebtoken";

const token = jwt.sign({ sub: "crm" }, process.env.O3O_DOCBUILDER_JWT_SECRET, {
  algorithm: "HS256",
  expiresIn: "15m" // đủ cho một đợt gọi; tối đa 24 giờ
});
const res = await fetch("http://localhost:8080/v1/limits", {
  headers: { Authorization: `Bearer ${token}` }
});
console.log(res.status, await res.json());

# pip install PyJWT requests
import os
import time

import jwt
import requests

now = int(time.time())
token = jwt.encode(
    {"sub": "crm", "iat": now, "exp": now + 15 * 60},  # đủ cho một đợt gọi; tối đa 24 giờ
    os.environ["O3O_DOCBUILDER_JWT_SECRET"],
    algorithm="HS256",
)
r = requests.get(
    "http://localhost:8080/v1/limits",
    headers={"Authorization": f"Bearer {token}"},
    timeout=30,
)
print(r.status_code, r.json())

<?php
// composer require firebase/php-jwt
require __DIR__ . '/vendor/autoload.php';

use Firebase\JWT\JWT;

$now = time();
$token = JWT::encode(
    ['sub' => 'crm', 'iat' => $now, 'exp' => $now + 15 * 60], // đủ cho một đợt gọi; tối đa 24 giờ
    getenv('O3O_DOCBUILDER_JWT_SECRET'),
    'HS256'
);
$ch = curl_init('http://localhost:8080/v1/limits');
curl_setopt_array($ch, [
    CURLOPT_HTTPHEADER => ["Authorization: Bearer $token"],
    CURLOPT_RETURNTRANSFER => true,
]);
echo curl_exec($ch), PHP_EOL;

using System.Net.Http.Headers;

// Lớp O3OJwt ở mục "Tự kiểm token" bên dưới; không cần thư viện ngoài (.NET 6+)
long now = DateTimeOffset.UtcNow.ToUnixTimeSeconds();
string token = O3OJwt.Sign(new { sub = "crm", iat = now, exp = now + 15 * 60 },
    Environment.GetEnvironmentVariable("O3O_DOCBUILDER_JWT_SECRET")!);

using var http = new HttpClient();
http.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", token);
Console.WriteLine(await http.GetStringAsync("http://localhost:8080/v1/limits"));

// Máy chủ của bạn — npm install jsonwebtoken   (tệp .mjs hoặc "type": "module")
import jwt from "jsonwebtoken";

const config = {
  document: {
    url: "https://example.com/files/hop-dong.docx",
    title: "Hợp đồng mẫu.docx",
    fileType: "docx",
    key: "hopdong-42-v7"
  },
  editor: {
    mode: "edit",
    lang: "vi",
    user: { id: "u-1001", name: "Nguyễn Văn A" },
    callbackUrl: "https://example.com/o3o/callback"
  },
  ui: { closeButton: true }
};

// Khoá lấy từ biến môi trường của MÁY CHỦ bạn, trùng O3O_EMBED_JWT_SECRET của O3O
const token = jwt.sign(config, process.env.O3O_EMBED_JWT_SECRET, {
  algorithm: "HS256",
  expiresIn: "10m" // chỉ cần đủ cho lúc trang nạp
});

// Trình duyệt: chỉ cần token do máy chủ trả về
// const editor = new O3O.Editor("o3o-editor", {
//   token,
//   events: { onError: (e) => console.error(e.code, e.message) }
// });

# pip install PyJWT
import os
import time

import jwt

now = int(time.time())
payload = {
    "document": {
        "url": "https://example.com/files/hop-dong.docx",
        "title": "Hợp đồng mẫu.docx",
        "fileType": "docx",
        "key": "hopdong-42-v7",
    },
    "editor": {
        "mode": "edit",
        "lang": "vi",
        "user": {"id": "u-1001", "name": "Nguyễn Văn A"},
        "callbackUrl": "https://example.com/o3o/callback",
    },
    "ui": {"closeButton": True},
    "iat": now,
    "exp": now + 10 * 60,  # chỉ cần đủ cho lúc trang nạp
}
# Khoá lấy từ biến môi trường của MÁY CHỦ bạn, trùng O3O_EMBED_JWT_SECRET của O3O
token = jwt.encode(payload, os.environ["O3O_EMBED_JWT_SECRET"], algorithm="HS256")

<?php
// composer require firebase/php-jwt
require __DIR__ . '/vendor/autoload.php';

use Firebase\JWT\JWT;

$now = time();
$payload = [
    'document' => [
        'url' => 'https://example.com/files/hop-dong.docx',
        'title' => 'Hợp đồng mẫu.docx',
        'fileType' => 'docx',
        'key' => 'hopdong-42-v7',
    ],
    'editor' => [
        'mode' => 'edit',
        'lang' => 'vi',
        'user' => ['id' => 'u-1001', 'name' => 'Nguyễn Văn A'],
        'callbackUrl' => 'https://example.com/o3o/callback',
    ],
    'ui' => ['closeButton' => true],
    'iat' => $now,
    'exp' => $now + 10 * 60, // chỉ cần đủ cho lúc trang nạp
];
// Khoá lấy từ biến môi trường của MÁY CHỦ bạn, trùng O3O_EMBED_JWT_SECRET của O3O
$token = JWT::encode($payload, getenv('O3O_EMBED_JWT_SECRET'), 'HS256');

// Lớp O3OJwt ở mục "Tự kiểm token" bên dưới; không cần thư viện ngoài (.NET 6+)
long now = DateTimeOffset.UtcNow.ToUnixTimeSeconds();
var payload = new
{
    document = new
    {
        url = "https://example.com/files/hop-dong.docx",
        title = "Hợp đồng mẫu.docx",
        fileType = "docx",
        key = "hopdong-42-v7"
    },
    editor = new
    {
        mode = "edit",
        lang = "vi",
        user = new { id = "u-1001", name = "Nguyễn Văn A" },
        callbackUrl = "https://example.com/o3o/callback"
    },
    ui = new { closeButton = true },
    iat = now,
    exp = now + 10 * 60 // chỉ cần đủ cho lúc trang nạp
};
// Khoá lấy từ biến môi trường của MÁY CHỦ bạn, trùng O3O_EMBED_JWT_SECRET của O3O
string token = O3OJwt.Sign(payload, Environment.GetEnvironmentVariable("O3O_EMBED_JWT_SECRET")!);

// npm install jsonwebtoken   (tệp .mjs hoặc "type": "module")
import jwt from "jsonwebtoken";

export function checkToken(token, secret) {
  // Chỉ nhận HS256, lệch đồng hồ 60 giây
  const payload = jwt.verify(token, secret, { algorithms: ["HS256"], clockTolerance: 60 });
  if (typeof payload.exp !== "number") throw new Error("thiếu exp");
  if (payload.exp - Date.now() / 1000 > 24 * 3600) throw new Error("exp xa quá 24 giờ");
  return payload;
}

# pip install PyJWT
import time

import jwt


def check_token(token: str, secret: str) -> dict:
    # Chỉ nhận HS256, bắt buộc exp, lệch đồng hồ 60 giây
    payload = jwt.decode(token, secret, algorithms=["HS256"], leeway=60,
                         options={"require": ["exp"]})
    if payload["exp"] - time.time() > 24 * 3600:
        raise ValueError("exp xa quá 24 giờ")
    return payload

<?php
// composer require firebase/php-jwt
require __DIR__ . '/vendor/autoload.php';

use Firebase\JWT\JWT;
use Firebase\JWT\Key;

function check_token(string $token, string $secret): object
{
    // Chỉ nhận HS256, lệch đồng hồ 60 giây
    JWT::$leeway = 60;
    $payload = JWT::decode($token, new Key($secret, 'HS256'));
    if (!isset($payload->exp) || $payload->exp - time() > 24 * 3600) {
        throw new UnexpectedValueException('exp thiếu hoặc xa quá 24 giờ');
    }
    return $payload;
}

using System.Security.Cryptography;
using System.Text;
using System.Text.Json;

// Cách dùng: dotnet run -- <token>
string token = args.Length > 0 ? args[0] : "";
JsonElement? payload = O3OJwt.Verify(token, Environment.GetEnvironmentVariable("O3O_EMBED_JWT_SECRET")!);
Console.WriteLine(payload is null ? "token không hợp lệ" : payload.Value.GetProperty("exp").ToString());

// Ký và kiểm JWT HS256, không cần thư viện ngoài (.NET 6+)
public static class O3OJwt
{
    public static string Sign(object payload, string secret)
    {
        string header = B64Url(JsonSerializer.SerializeToUtf8Bytes(new { alg = "HS256", typ = "JWT" }));
        string body = B64Url(JsonSerializer.SerializeToUtf8Bytes(payload));
        using var hmac = new HMACSHA256(Encoding.UTF8.GetBytes(secret));
        byte[] sig = hmac.ComputeHash(Encoding.ASCII.GetBytes(header + "." + body));
        return header + "." + body + "." + B64Url(sig);
    }

    // Trả payload nếu hợp lệ, ngược lại null
    public static JsonElement? Verify(string token, string secret, int leewaySeconds = 60)
    {
        try
        {
            string[] parts = token.Split('.');
            if (parts.Length != 3) return null;
            using var hmac = new HMACSHA256(Encoding.UTF8.GetBytes(secret));
            byte[] expected = hmac.ComputeHash(Encoding.ASCII.GetBytes(parts[0] + "." + parts[1]));
            if (!CryptographicOperations.FixedTimeEquals(expected, B64UrlDecode(parts[2]))) return null;
            using var header = JsonDocument.Parse(B64UrlDecode(parts[0]));
            if (!header.RootElement.TryGetProperty("alg", out JsonElement alg) || alg.GetString() != "HS256") return null;
            using var doc = JsonDocument.Parse(B64UrlDecode(parts[1]));
            JsonElement payload = doc.RootElement.Clone();
            if (!payload.TryGetProperty("exp", out JsonElement exp)) return null;
            long now = DateTimeOffset.UtcNow.ToUnixTimeSeconds();
            if (now > exp.GetInt64() + leewaySeconds) return null;
            if (exp.GetInt64() - now > 24 * 3600) return null;
            return payload;
        }
        catch (FormatException) { return null; }
        catch (JsonException) { return null; }
    }

    static string B64Url(byte[] data) =>
        Convert.ToBase64String(data).TrimEnd('=').Replace('+', '-').Replace('/', '_');

    static byte[] B64UrlDecode(string s)
    {
        s = s.Replace('-', '+').Replace('_', '/');
        return Convert.FromBase64String(s.PadRight(s.Length + (4 - s.Length % 4) % 4, '='));
    }
}