UDT-002: Logout + Refresh Token con rotación y chain revocation #3

dmolinari · 2026-04-14T17:01:20Z

dmolinari commented

2026-04-14 17:01:20 +00:00

Summary

Implementa refresh token opaque 256-bit hasheado con SHA-256, persistido en BD con familia de rotación y chain revocation en reuso
Agrega endpoints /api/v1/auth/refresh y /api/v1/auth/logout con autenticación segura y detección de token reuse
Frontend: authStore extendido con refreshToken + expiresAt persistidos, interceptor axios con singleton promise queue para resolver 401 en paralelo
Expiración absoluta 7 días (no sliding) — cada rotación hereda fecha de expiración original
36 commits TDD desde origin/main: domain → application → infrastructure → API → tests backend + frontend

Highlights

Opaque 256-bit refresh token: NO JWT — permite revocación efectiva. BD guarda solo hash SHA-256, cliente guarda raw.
Absolute 7d expiry heredado: Cada rotación mantiene ExpiresAt original — cierra vector de extensión indefinida via rotaciones sucesivas.
Chain revocation por FamilyId: Si un token revocado se reutiliza → se revocan todos los activos de esa familia + usuario debe re-loguearse.
Singleton promise queue frontend: Un solo POST /refresh en vuelo aunque N requests fallen con 401 simultáneamente. Patrón módulo-scope resuelve race condition de refresco paralelo.

Tests

Suite	Status	Count
SIGCM2.Application.Tests	✅ PASS	64/64
SIGCM2.Api.Tests	⚠️ 6 pass, 2 pre-existentes*	6/8
Frontend (Vitest)	✅ PASS	27/27
Total	97 pass, 2 pre-existentes	97/99

*Los 2 failures son pre-existentes del UDT-001 (Login tests con BD connection issue via TestHost) — NO hay regresión nueva.

Follow-ups (deuda técnica, no bloqueante)

W-01: Refactorizar exclusión /auth/refresh en axiosClient de includes() a endsWith() para robustez futura
W-02: Alinear LogoutResponseDto.mensaje con contrato simplificado de API docs
W-03: Mapear /auth/logout en MSW del test para limpiar stderr
W-04: Aplicar migración V002 a SIGCM2 productivo (T-003, requiere confirmación usuario)

Smoke test

Ver docs/smoke-test-udt-002.md para 7 escenarios de validación manual:

Login → persistencia de tokens en localStorage
Expiración y refresh automático silencioso
Logout → revocación de familia
Intento de reuso → 401 + revocación familia
Verificación de hash en BD vs raw token
Token raw NUNCA en logs
ClockSkew = 0 → expiración puntual

Branch: feature/UDT-002 (36 commits desde origin/main)
Migración: V002__create_refresh_token.sql incluida
Tests: 100% TDD (RED → GREEN para cada capa)
Seguridad: 0 tokens raw en BD, 0 raw en logs, chain revocation en reuso

Pronto para review y merge a main.

## Summary - Implementa refresh token opaque 256-bit hasheado con SHA-256, persistido en BD con familia de rotación y chain revocation en reuso - Agrega endpoints `/api/v1/auth/refresh` y `/api/v1/auth/logout` con autenticación segura y detección de token reuse - Frontend: authStore extendido con refreshToken + expiresAt persistidos, interceptor axios con singleton promise queue para resolver 401 en paralelo - Expiración absoluta 7 días (no sliding) — cada rotación hereda fecha de expiración original - 36 commits TDD desde origin/main: domain → application → infrastructure → API → tests backend + frontend ## Highlights - **Opaque 256-bit refresh token**: NO JWT — permite revocación efectiva. BD guarda solo hash SHA-256, cliente guarda raw. - **Absolute 7d expiry heredado**: Cada rotación mantiene ExpiresAt original — cierra vector de extensión indefinida via rotaciones sucesivas. - **Chain revocation por FamilyId**: Si un token revocado se reutiliza → se revocan todos los activos de esa familia + usuario debe re-loguearse. - **Singleton promise queue frontend**: Un solo POST /refresh en vuelo aunque N requests fallen con 401 simultáneamente. Patrón módulo-scope resuelve race condition de refresco paralelo. ## Tests | Suite | Status | Count | |---|---|---| | SIGCM2.Application.Tests | ✅ PASS | 64/64 | | SIGCM2.Api.Tests | ⚠️ 6 pass, 2 pre-existentes* | 6/8 | | Frontend (Vitest) | ✅ PASS | 27/27 | | **Total** | **97 pass, 2 pre-existentes** | **97/99** | *Los 2 failures son pre-existentes del UDT-001 (Login tests con BD connection issue via TestHost) — NO hay regresión nueva. ## Follow-ups (deuda técnica, no bloqueante) - **W-01**: Refactorizar exclusión `/auth/refresh` en axiosClient de `includes()` a `endsWith()` para robustez futura - **W-02**: Alinear `LogoutResponseDto.mensaje` con contrato simplificado de API docs - **W-03**: Mapear `/auth/logout` en MSW del test para limpiar stderr - **W-04**: Aplicar migración V002 a SIGCM2 productivo (T-003, requiere confirmación usuario) ## Smoke test Ver `docs/smoke-test-udt-002.md` para 7 escenarios de validación manual: 1. Login → persistencia de tokens en localStorage 2. Expiración y refresh automático silencioso 3. Logout → revocación de familia 4. Intento de reuso → 401 + revocación familia 5. Verificación de hash en BD vs raw token 6. Token raw NUNCA en logs 7. ClockSkew = 0 → expiración puntual --- **Branch**: feature/UDT-002 (36 commits desde origin/main) **Migración**: V002__create_refresh_token.sql incluida **Tests**: 100% TDD (RED → GREEN para cada capa) **Seguridad**: 0 tokens raw en BD, 0 raw en logs, chain revocation en reuso Pronto para review y merge a main.

dmolinari added 36 commits 2026-04-14 17:01:20 +00:00

fix(web): default API port to 5212 3b66415e17

db(auth): add V002__create_refresh_token migration with chain revocation indexes ffb68db57e

test(domain): add RefreshToken entity tests RED 2efe4115c4

feat(domain): add RefreshToken entity with factory methods and IsActive logic 99bb3364c3

test(domain): add TokenHasher tests RED 22aff10330

feat(domain): add TokenHasher SHA-256 base64url helper aacfd29673

feat(domain): add InvalidRefreshTokenException and TokenReuseDetectedException 83c6a95ee2

feat(app): extend IJwtService with GetPrincipalFromExpiredToken ba6dffb137

feat(app): add IRefreshTokenRepository abstraction 802c89ffe5

feat(app): add IRefreshTokenGenerator abstraction 84006776b6

feat(app): add IClientContext abstraction for IP and UserAgent 971f6f572f

test(app): add RefreshCommandHandler tests RED 25639398c2

feat(app): implement RefreshCommand handler with token rotation and chain revocation f5e67b78a5

test(app): add LogoutCommandHandler tests RED 15a7687e4c

feat(app): implement LogoutCommand handler with idempotent revocation 6c02197369

test(app): extend LoginCommandHandler tests with refresh token persistence cases RED b79efc778a

feat(app): update LoginCommandHandler to persist hashed refresh token on login 8bbd2b6f2a

test(infra): add GetPrincipalFromExpiredToken tests for JwtService RED a363e3658d

feat(infra): implement GetPrincipalFromExpiredToken in JwtService c910ff2fc5

test(infra): add RefreshTokenGenerator tests RED 2806e8dfa6

feat(infra): implement RefreshTokenGenerator with cryptographic random bytes d326dd87e0

test(infra): add RefreshTokenRepository integration tests RED e405c0453b

feat(infra): implement RefreshTokenRepository with Dapper and add GetByIdAsync to UsuarioRepository 0c809da633

feat(infra): add RefreshTokenDays to JwtOptions and AuthOptions config 19ac807500

feat(infra): implement ClientContext for IP and UserAgent from IHttpContextAccessor cb4250f7b3

feat(infra): register RefreshTokenRepository, RefreshTokenGenerator, ClientContext and handlers in DI aed26e3de9

test(api): add Refresh and Logout endpoint integration tests RED 4e7b2690bd

feat(api): add /refresh [AllowAnonymous] and /logout [Authorize] endpoints to AuthController 8768067fdd

feat(api): map InvalidRefreshTokenException and TokenReuseDetectedException to generic 401 fd2ff8a802

fix(test): RefreshTokenRepository tests use Respawn pattern instead of transaction isolation f1d4ea0047

Transaction-scoped tests conflicted with the repository opening its own connection,
blocking on FK locks for the uncommitted seeded user and causing timeouts.
Switched to the Respawn pattern used by UsuarioRepositoryTests ([Collection("Database")])
which commits seed data and resets between test classes.

test(web): authStore TDD — refreshToken, expiresAt, clearAuth, updateAccess, logout async f806e0a483

feat(web): authApi — add refresh() and logout() with types and tests d40b7247fc

feat(web): axiosClient — request/response interceptors with singleton refresh queue bdaaaffaf6

test(web): LoginPage — verify setAuth receives expiresIn and calculates expiresAt dd4f4dbd5e

docs(web): smoke test checklist UDT-002 — login, refresh, logout, reuse detection 7fadb88da0

fix(web): use endsWith for /auth path exclusion in refresh interceptor 96dbeecc0f

Avoids substring-match false positives on future endpoints whose URL could
contain /auth/refresh or /auth/login as infix (W-01 from verify report).

dmolinari merged commit 5b3797a81c into main

2026-04-14 17:37:47 +00:00

dmolinari deleted branch feature/UDT-002

2026-04-14 17:37:47 +00:00

dmolinari referenced this issue from a commit

2026-04-14 17:37:48 +00:00

Merge pull request 'UDT-002: Logout + Refresh Token con rotación y chain revocation' (#3) from feature/UDT-002 into main

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: dmolinari/SIG-CM2.0#3