mailgo/internal/auth/oauth2.go

package auth

import (
	"context"
	"encoding/json"
	"fmt"
	"io"

	"mail_go/config"

	"golang.org/x/oauth2"
	"golang.org/x/oauth2/github"
	"golang.org/x/oauth2/google"
)

// OAuth2Provider 实现 OAuth2 认证
type OAuth2Provider struct {
	cfg    config.AuthConfig
	config *oauth2.Config
}

// NewOAuth2Provider 创建 OAuth2 认证提供者
func NewOAuth2Provider(cfg config.AuthConfig) *OAuth2Provider {
	p := &OAuth2Provider{cfg: cfg}

	var endpoint oauth2.Endpoint
	switch cfg.OAuth2Provider {
	case "google":
		endpoint = google.Endpoint
	case "github":
		endpoint = github.Endpoint
	default:
		endpoint = oauth2.Endpoint{
			AuthURL:  fmt.Sprintf("https://%s/login/oauth/authorize", cfg.OAuth2Provider),
			TokenURL: fmt.Sprintf("https://%s/login/oauth/access_token", cfg.OAuth2Provider),
		}
	}

	p.config = &oauth2.Config{
		ClientID:     cfg.OAuth2ClientID,
		ClientSecret: cfg.OAuth2ClientSecret,
		RedirectURL:  cfg.OAuth2RedirectURL,
		Scopes:       []string{"email", "profile"},
		Endpoint:     endpoint,
	}

	return p
}

// Name 返回提供者名称
func (p *OAuth2Provider) Name() string { return "oauth2" }

// GetAuthURL 返回 OAuth2 授权重定向URL
func (p *OAuth2Provider) GetAuthURL(state string) string {
	return p.config.AuthCodeURL(state)
}

// HandleCallback 处理 OAuth2 回调，返回用户邮箱
func (p *OAuth2Provider) HandleCallback(code string) (string, error) {
	token, err := p.config.Exchange(context.Background(), code)
	if err != nil {
		return "", fmt.Errorf("OAuth2 token 交换失败: %w", err)
	}

	email, err := p.fetchUserEmail(token)
	if err != nil {
		return "", err
	}

	return email, nil
}

// fetchUserEmail 从 OAuth2 提供者获取用户邮箱
func (p *OAuth2Provider) fetchUserEmail(token *oauth2.Token) (string, error) {
	client := p.config.Client(context.Background(), token)

	var userinfoURL string
	switch p.cfg.OAuth2Provider {
	case "google":
		userinfoURL = "https://www.googleapis.com/oauth2/v2/userinfo"
	case "github":
		userinfoURL = "https://api.github.com/user/emails"
	default:
		return "", fmt.Errorf("不支持的 OAuth2 提供者: %s", p.cfg.OAuth2Provider)
	}

	resp, err := client.Get(userinfoURL)
	if err != nil {
		return "", fmt.Errorf("获取用户信息失败: %w", err)
	}
	defer resp.Body.Close()

	body, err := io.ReadAll(resp.Body)
	if err != nil {
		return "", fmt.Errorf("读取用户信息失败: %w", err)
	}

	if p.cfg.OAuth2Provider == "google" {
		return parseGoogleEmail(body)
	}

	if p.cfg.OAuth2Provider == "github" {
		return parseGitHubEmail(body)
	}

	return "", fmt.Errorf("OAuth2 邮箱获取尚未实现")
}

// parseGoogleEmail 解析 Google userinfo 响应，仅接受已验证邮箱。
// verified_email 缺失按未验证处理（fail closed）：未验证邮箱可能不属于
// 该账号所有者，放行会允许冒充既有用户登录（账号接管）。
func parseGoogleEmail(body []byte) (string, error) {
	var userInfo struct {
		Email         string `json:"email"`
		EmailVerified bool   `json:"verified_email"`
	}
	if err := json.Unmarshal(body, &userInfo); err != nil {
		return "", fmt.Errorf("解析Google用户信息失败: %w", err)
	}
	if userInfo.Email == "" {
		return "", fmt.Errorf("Google账户未关联邮箱")
	}
	if !userInfo.EmailVerified {
		return "", fmt.Errorf("Google 账号邮箱未验证")
	}
	return userInfo.Email, nil
}

// parseGitHubEmail 解析 /user/emails 响应，仅接受已验证邮箱：主邮箱优先，
// 其次任一已验证邮箱。GitHub 该接口当前实际只返回已验证邮箱，显式校验
// 使登录安全不依赖该行为。
func parseGitHubEmail(body []byte) (string, error) {
	var emails []struct {
		Email    string `json:"email"`
		Primary  bool   `json:"primary"`
		Verified bool   `json:"verified"`
	}
	if err := json.Unmarshal(body, &emails); err != nil {
		return "", fmt.Errorf("解析GitHub用户信息失败: %w", err)
	}
	var fallback string
	for _, e := range emails {
		if e.Email == "" || !e.Verified {
			continue
		}
		if e.Primary {
			return e.Email, nil
		}
		if fallback == "" {
			fallback = e.Email
		}
	}
	if fallback != "" {
		return fallback, nil
	}
	return "", fmt.Errorf("GitHub账户没有已验证邮箱")
}

// Authenticate 实现 Provider 接口（OAuth2 不使用此方法，通过回调流程认证）
func (p *OAuth2Provider) Authenticate(credentials map[string]string) (string, error) {
	return "", fmt.Errorf("OAuth2 不支持直接认证，请使用回调流程")
}

// Ensure interfaces are satisfied
var (
	_ Provider = (*LDAPProvider)(nil)
	_ Provider = (*OAuth2Provider)(nil)
)