التفويض والأدوار و OAuth

const express = require('express');const jwt = require('jsonwebtoken');const app = express();app.use(express.json());const SECRET = process.env.JWT_SECRET; // مستخدمون تجريبيون (كلمة المرور محذوفة للتبسيط؛ راجع الدرس السابق)const users = [  { id: 1, name: 'المشرفة نوف', role: 'admin' },  { id: 2, name: 'المعلم سعد', role: 'teacher' },  { id: 3, name: 'الطالب يزيد', role: 'student' },];app.post('/api/login', (req, res) => {  const u = users.find(x => x.id === req.body.id);  if (!u) return res.status(401).json({ error: 'غير معروف' });  res.json({ token: jwt.sign({ sub: u.id, role: u.role }, SECRET, { expiresIn: '1h' }) });}); function auth(req, res, next) {  try {    req.user = jwt.verify((req.headers.authorization || '').slice(7), SECRET);    next();  } catch {    res.status(401).json({ error: 'سجّل الدخول' });  }} function allow(...roles) {  return (req, res, next) => {    if (!roles.includes(req.user.role)) {      return res.status(403).json({ error: 'لا تملك صلاحية هذا الإجراء' });    }    next();  };} app.get('/api/courses', auth, (req, res) => res.json(['CS242', 'CS241']));app.post('/api/grades', auth, allow('admin', 'teacher'), (req, res) => res.status(201).json({ saved: req.body }));app.delete('/api/users/:id', auth, allow('admin'), (req, res) => res.sendStatus(204)); app.listen(3000);

const express = require('express');const jwt = require('jsonwebtoken');const app = express();app.use(express.json());const SECRET = process.env.JWT_SECRET; // مستخدمون تجريبيون (كلمة المرور محذوفة للتبسيط؛ راجع الدرس السابق)const users = [  { id: 1, name: 'المشرفة نوف', role: 'admin' },  { id: 2, name: 'المعلم سعد', role: 'teacher' },  { id: 3, name: 'الطالب يزيد', role: 'student' },];app.post('/api/login', (req, res) => {  const u = users.find(x => x.id === req.body.id);  if (!u) return res.status(401).json({ error: 'غير معروف' });  res.json({ token: jwt.sign({ sub: u.id, role: u.role }, SECRET, { expiresIn: '1h' }) });}); function auth(req, res, next) {  try {    req.user = jwt.verify((req.headers.authorization || '').slice(7), SECRET);    next();  } catch {    res.status(401).json({ error: 'سجّل الدخول' });  }} const homeworks = [  { id: 1, ownerId: 3, text: 'واجب يزيد' },  { id: 2, ownerId: 4, text: 'واجب طالب آخر' },]; app.put('/api/homeworks/:id', auth, (req, res) => {  const hw = homeworks.find(h => h.id === Number(req.params.id));  if (!hw) return res.status(404).json({ error: 'غير موجود' });  if (hw.ownerId !== req.user.sub && req.user.role !== 'admin') {    return res.status(403).json({ error: 'هذا ليس واجبك' });  }  hw.text = req.body.text;  res.json(hw);}); app.listen(3000);

const express = require('express');const crypto = require('crypto');const app = express();app.use(express.urlencoded({ extended: false })); const CLIENT_ID = 'tatbeeqha-app', CLIENT_SECRET = 'secret-on-server-only';const pendingStates = new Set(), codes = new Map(), sessions = new Map(); // ======== تطبيقنا ========app.get('/', (req, res) => {  res.send('<h1>منصة المقررات</h1><a href="/auth/login">🔐 سجّل الدخول بحساب الكلية</a>');}); app.get('/auth/login', (req, res) => {                       // (1)  const state = crypto.randomUUID();  pendingStates.add(state);  res.redirect(`/provider/authorize?client_id=${CLIENT_ID}&redirect_uri=/auth/callback&state=${state}`);}); app.get('/auth/callback', (req, res) => {                    // (3) ثم (4) و (5)  const { code, state } = req.query;  if (!pendingStates.delete(state)) return res.status(400).send('state غير صحيح');  const user = providerExchange(code, CLIENT_SECRET);        // في الحقيقة: طلب POST إلى المزوّد  if (!user) return res.status(401).send('رمز مؤقت غير صالح');  const sid = crypto.randomUUID();  sessions.set(sid, user);  res.cookie('sid', sid, { httpOnly: true }).redirect('/me');}); app.get('/me', (req, res) => {  const sid = (req.headers.cookie || '').replace('sid=', '');  const user = sessions.get(sid);  if (!user) return res.redirect('/');  res.send(`<h1>أهلًا ${user.name}</h1><p>بريدك: ${user.email}</p>`);}); // ======== المزوّد الوهمي (يمثّل Google مثلًا) ========app.get('/provider/authorize', (req, res) => {               // (2)  res.send(`<h2>مزوّد الهوية</h2><p>التطبيق ${req.query.client_id} يطلب اسمك وبريدك.</p>    <form method="post" action="/provider/approve">      <input type="hidden" name="state" value="${req.query.state}">      <input type="hidden" name="redirect" value="${req.query.redirect_uri}">      <button>موافق</button></form>`);});app.post('/provider/approve', (req, res) => {  const code = crypto.randomUUID();  codes.set(code, { name: 'ريم', email: 'reem@tvtc.edu.sa' });  res.redirect(`${req.body.redirect}?code=${code}&state=${req.body.state}`);});function providerExchange(code, secret) {  if (secret !== CLIENT_SECRET || !codes.has(code)) return null;  const user = codes.get(code);  codes.delete(code);                                        // الرمز المؤقت يُستخدم مرة واحدة  return user;} app.listen(3000);