From 4cd92aeb60fcdd509e9aeedd3024cb3638949559 Mon Sep 17 00:00:00 2001
From: "Zimin A.N." <zimin.an@nstart.space>
Date: Mon, 25 May 2026 18:54:37 +0300
Subject: [PATCH] =?UTF-8?q?fix(auth):=20TokenSync=20=E2=80=94=20=D0=BF?=
 =?UTF-8?q?=D1=80=D0=BE=D0=B0=D0=BA=D1=82=D0=B8=D0=B2=D0=BD=D0=B0=D1=8F=20?=
 =?UTF-8?q?re-auth=20=D0=BF=D1=80=D0=B8=20expired=20user?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Симптом: после ~30 мин неактивности пользователь видит 403 на /admin/audit
и /admin/users. Перелогин решает.

Корень. automaticSilentRenew: true в oidcConfig должен обновлять
access_token, но падает молча когда:
- refresh_token истёк (Keycloak SSO Session Idle = 30 мин)
- silent renew iframe заблокирован 3rd-party cookies
- silentRenewError не подцеплен глобально

В этих случаях user.expired=true, accessToken=null. Дальнейшие запросы идут
БЕЗ Authorization header → backend с ORDINIS_AUTH_REQUIRED=false пропускает
как anonymous → requireInternal() видит PUBLIC scope → 403 (не 401).
401-handler в interceptor'е не срабатывает (статус не тот) → юзер залипает.

Fix. Новый useEffect в TokenSync watches auth.user?.expired. На transition
в true: signinSilent (вдруг refresh ещё жив), на failure signinRedirect.
Anti-loop ref предотвращает повторные попытки пока expired=true.

Бонусом — за компанию с MR !267 (admin → RESTRICTED) — после v2.42.4 деплоя
админ может работать сессией дольше 30 мин без 403'ов.
---
 ordinis-admin-ui/src/auth/TokenSync.tsx | 39 +++++++++++++++++++++++++
 1 file changed, 39 insertions(+)

diff --git a/ordinis-admin-ui/src/auth/TokenSync.tsx b/ordinis-admin-ui/src/auth/TokenSync.tsx
index f836685..f178c9e 100644
--- a/ordinis-admin-ui/src/auth/TokenSync.tsx
+++ b/ordinis-admin-ui/src/auth/TokenSync.tsx
@@ -23,6 +23,9 @@ import { LEGACY_TOKEN_STORAGE_KEY } from './oidcConfig'
 export function TokenSync() {
   const auth = useAuth()
   const redirecting = useRef(false)
+  // Anti-loop guard для проактивной re-auth при expiry — без него
+  // useEffect срабатывал бы повторно на каждый render пока expired=true.
+  const reauthing = useRef(false)
 
   // 1) Token sync — single update path к accessToken holder в client.ts.
   // ВАЖНО: пропускаем токен ТОЛЬКО когда user реально authenticated AND token
@@ -93,5 +96,41 @@ export function TokenSync() {
     return () => setUnauthorizedHandler(null)
   }, [auth])
 
+  // 3) Проактивная re-auth при expiry. automaticSilentRenew: true должен
+  //    обновлять access_token автоматически, но молча падает если:
+  //    - refresh_token истёк (Keycloak SSO Session Idle ~30 мин)
+  //    - silent renew iframe заблокирован 3rd-party cookie policy
+  //    - silentRenewError не подцеплен глобально
+  //
+  //    В этих случаях user.expired=true, accessToken=null, requests идут
+  //    как anonymous → backend с requireInternal() отдаёт 403 (не 401),
+  //    401-handler не срабатывает → юзер видит «403 forbidden» вместо
+  //    привычного relogin redirect. Симптом который пользователь репортит
+  //    как «перелогин решает».
+  //
+  //    Логика: если user был authenticated и стал expired — пытаемся
+  //    signinSilent (вдруг refresh ещё жив), на failure full redirect.
+  useEffect(() => {
+    if (!auth.user?.expired) {
+      reauthing.current = false
+      return
+    }
+    if (reauthing.current || auth.isLoading || auth.activeNavigator) return
+    if (typeof window !== 'undefined' && window.location.search.includes('error=')) {
+      return
+    }
+    reauthing.current = true
+    auth
+      .signinSilent()
+      .then(() => {
+        reauthing.current = false
+      })
+      .catch(() => {
+        auth.signinRedirect().catch(() => {
+          reauthing.current = false
+        })
+      })
+  }, [auth, auth.user?.expired])
+
   return null
 }