60 lines
2.5 KiB
JavaScript
60 lines
2.5 KiB
JavaScript
import { config } from '../config.js'
|
|
import { getEmployeeByEmail, getEmployeeByUserId } from '../services/appwriteAdmin.js'
|
|
|
|
/**
|
|
* Appwrite-Konto zum Bearer-JWT aus dem Ticketsystem (GET /account). null ohne Header oder wenn Appwrite
|
|
* ablehnt - auch bei einer Sitzung ohne zweiten Faktor (401 user_more_factors_required).
|
|
*/
|
|
export async function appwriteAccountFromJwt(req) {
|
|
const match = (req.get('Authorization') || '').match(/^Bearer\s+(.+)$/i)
|
|
if (!match) return null
|
|
const response = await fetch(`${config.appwrite.endpoint}/account`, {
|
|
headers: {
|
|
'Content-Type': 'application/json',
|
|
'X-Appwrite-Project': config.appwrite.projectId,
|
|
'X-Appwrite-JWT': match[1],
|
|
},
|
|
})
|
|
if (!response.ok) return null
|
|
return response.json()
|
|
}
|
|
|
|
/**
|
|
* Mitarbeiter fuer den Team-Eingang: employees-Eintrag zur Konto-ID, Label "admin" oder - nur mit bestaetigter
|
|
* Konto-Mail - ein employees-Eintrag zur Mail. Kunden haben Konten im selben Appwrite-Projekt und koennen ihre
|
|
* Mail ohne Bestaetigung aendern; eine unbestaetigte Mail zaehlt deshalb nie.
|
|
*/
|
|
export async function resolveTeamStaff(account) {
|
|
if (!account?.$id) return null
|
|
const isAdmin = Array.isArray(account.labels) && account.labels.includes('admin')
|
|
let employee = await getEmployeeByUserId(account.$id).catch(() => null)
|
|
if (!employee && !isAdmin && account.emailVerification === true && account.email) {
|
|
employee = await getEmployeeByEmail(account.email).catch(() => null)
|
|
}
|
|
if (!employee && !isAdmin) return null
|
|
return {
|
|
isAdmin,
|
|
name: employee?.displayName || account.name || 'Mitarbeiter',
|
|
email: account.email || employee?.email || '',
|
|
}
|
|
}
|
|
|
|
/**
|
|
* Team-Eingang (/api/team): jeder Mitarbeiter mit gueltiger Ticketsystem-Anmeldung. req.session hat dieselbe Form
|
|
* wie die Admin-Sitzung des Portals, damit die bestehenden Handler unveraendert laufen.
|
|
*/
|
|
export async function requireStaffJwt(req, res, next) {
|
|
try {
|
|
const account = await appwriteAccountFromJwt(req)
|
|
if (!account?.$id) return res.status(401).json({ error: 'Bitte im Ticketsystem neu anmelden.' })
|
|
const staff = await resolveTeamStaff(account)
|
|
if (!staff) return res.status(403).json({ error: 'Kein Mitarbeiterkonto.' })
|
|
const session = { role: 'admin', isAdmin: staff.isAdmin, appwriteUserId: account.$id, name: staff.name, email: staff.email }
|
|
req.session = session
|
|
req.staff = session
|
|
return next()
|
|
} catch (err) {
|
|
return res.status(500).json({ error: err.message || 'Anmeldung konnte nicht geprüft werden' })
|
|
}
|
|
}
|